Перейти к содержимому
HackIndex logo

HackIndex

Инструменты

Генератор действий из SOAP WSDL

Вставьте необработанный WSDL XML — получите SOAP-конверты и команды curl для каждой операции.

Совет: вы можете получить WSDL, добавив ?wsdl или ?WSDL к URL SOAP-сервиса.

Как это работает

Этот инструмент разбирает документ WSDL (Web Services Description Language) и генерирует полный, готовый к отправке SOAP-конверт и команду curl для каждой операции, определённой в сервисе — избавляя вас от написания шаблонного XML вручную во время CTF или пентеста.

  1. 1. Получите WSDL: добавить ?wsdl или ?WSDL к URL сервиса или найдите его в исходном коде. Сохраните полный XML.
  2. 2. Вставьте WSDL: вставьте необработанный XML в текстовое поле и нажмите «Сгенерировать действия».
  3. 3. Получите конверты: каждая операция SOAP получает свой конверт с параметрами-заглушками, а также команду curl с правильным эндпоинтом и заголовком SOAPAction.
  4. 4. Отправьте запрос: скопируйте команду curl, замените значения-заглушки на реальные входные данные и отправьте её к цели.

Что такое WSDL?

WSDL — это основанный на XML язык описания интерфейсов для SOAP-веб-сервисов. Он определяет доступные операции, их типы входных/выходных сообщений и имена параметров, типы данных (через XML Schema), привязку (как SOAP сопоставляется с HTTP) и URL эндпоинта. SOAP-сервисы публично предоставляют WSDL, чтобы клиенты могли генерировать заглушки — и чтобы пентестеры могли обнаружить всю поверхность атаки.

wsdl:operation

Defines an available action. The name maps directly to the SOAP body element and often to the SOAPAction header value.

wsdl:message

Describes the input or output of an operation as a set of typed parts (parameters).

wsdl:types

Contains the XML Schema (XSD) definitions for all message types, including parameter names, types and cardinality.

soap:address location

The HTTP endpoint URL where SOAP requests must be sent, extracted and used directly in the curl command.

FAQ

Does this send requests to the target service?

No. Everything happens server-side in PHP. The tool only parses the XML you paste and generates strings. No outbound requests are made.

Where do I find the WSDL?

Append ?wsdl or ?WSDL to the service base URL (e.g. https://example.com/service.asmx?wsdl). Some services list the path in their homepage or error page.

What SOAP versions are supported?

SOAP 1.1 (the most common, uses http://schemas.xmlsoap.org/soap/envelope/) and SOAP 1.2 (uses http://www.w3.org/2003/05/soap-envelope). The tool detects the version from the binding and generates the correct envelope namespace.

Can I use this for CTF challenges?

Yes. SOAP services appear regularly in CTF web challenges. This tool cuts the time spent decoding WSDL XML and writing envelope boilerplate so you can focus on the actual vulnerability.

Why are my parameter values placeholders?

The tool inserts VALUE placeholders where the XSD type cannot be inferred as a primitive. Replace them with real values before sending the request.