搜索

[19461] 2019-03-07_漏洞经验分享丨Java审计之XXE（上）

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-03-07_漏洞经验分享丨Java审计之XXE（上） 漏 洞 经 验 分 享 丨 J a v a 审 计 之 X X E （ 上 ） i 春 秋   2 0 1 9 - 0 3 - 0 7 最 近 在 审 计 公 司 的 某 个 项 目 时 ( J a v a 方 面 ) ， 发 现 了 几 个 有 意 思 的 B l i n d   X X E 漏 洞 ， 我 觉 得 有 必 要 分 享 给 大 家 ， 尤 其 是 J a v a 审 计 新 手 ， 了 解 这 些 内 容 可 以 让 你 少 走 一 些 弯 路 。 J a v a 总 体 常 出 现 的 审 计 漏 洞 如 下 ： > S Q L 注 入 > X S S > C S R F > X X E > S S R F > C R L F 注 入 > 远 程 命 令 执 行 > 反 序 列 化 > 文 件 上 传 > 任 意 文 件 删 除 > 文 件 下 载 > D W R 接 口 未 授 权 访 问 > J S O N P > U R L 报 名 单 绕 过
X X E 简 介 简 介 X X E ( X M L 外 部 实 体 注 入 、 X M L   E x t e r n a l   E n t i t y ） ， 在 应 用 程 序 解 析 X M L 输 入 时 ， 当 允 许 引 用 外 部 实 体 时 ， 可 以 构 造 恶 意 内 容 导 致 读 取 任 意 文 件 或 S S R F 、 端 口 探 测 、 D o S 拒 绝 服 务 攻 击 、 执 行 系 统 命 令 、 攻 击 内 部 网 站 等 。 J a v a 中 的 X X E 支 持 s u n . n e t . w w w . p r o t o c o l 里 面 的 所 有 协 议 ： h t t p ， h t t p s ， f i l e ， f t p ， m a i l t o ， j a r ， n e t d o c   。 一 般 利 用 f i l e 协 议 读 取 文 件 、 利 用 h t t p 协 议 探 测 内 网 ， 没 有 回 显 时 可 组 合 利 用 f i l e 协 议 和 f t p 协 议 来 读 取 文 件 。 相 关 基 础 概 念 相 关 基 础 概 念 X M L & D T D X M L ( 可 扩 展 标 记 语 言 ， E X t e n s i b l e   M a r k u p   L a n g u a g e   ) ， 是 一 种 标 记 语 言 ， 用 来 传 输 和 存 储 数 据 。 D T D ( 文 档 类 型 定 义 ， D o c u m e n t   T y p e   D e f i n i t i o n   ) 的 作 用 是 定 义 X M L 文 档 的 合 法 构 建 模 块 。 它 使 用 一 系 列 的 合 法 元 素 来 定 义 文 档 结 构 。 实 体 实 体 E N T I T Y X M L 中 的 实 体 类 型 ， 一 般 有 下 面 几 种 ： 字 符 实 体 ， 命 名 实 体 （ 或 内 部 实 体 ） 、 外 部 实 体 （ 包 含 分 为 ： 外 部 普 通 实 体 、 外 部 参 数 实 体 ） 。 除 外 部 参 数 实 体 外 ， 其 他 实 体 都 以 字 符 （ & ） 开 始 以 字 符 （ ； ） 结 束 。 0 x 1 ) : 字 符 实 体 字 符 实 体 类 似 h t m l 的 实 体 编 码 ， 形 如 a ( 十 进 制 ) 或 者 a （ 十 六 进 制 ） 。 0 x 2 ) : 命 名 实 体 （ 内 部 实 体 ） 内 部 实 体 又 叫 命 名 实 体 。 命 名 实 体 可 以 说 成 是 变 量 声 明 ， 命 名 实 体 只 能 在 D T D 或 者 X M L 文 件 开 始 部 分 （ < ! D O C T Y P E > 语 句 中 ） 。 命 名 实 体 （ 或 内 部 实 体 语 法 ） : ` < ! E N T I T Y   实 体 名 称   " 实 体 的 值 " > ` 如 ：
说 明 ： 定 义 一 个 实 体 名 称 x   值 为 F i r s t   P a r a m ! & x ;   引 用 实 体 x 知 道 以 上 语 法 后 ， 可 以 使 用 名 为 f o o 的 数 据 类 型 定 义 （ D T D ） 构 造 如 下 请 求 : r e q u e s t : b a r 元 素 是 单 词 “ W o r l d ” 的 别 名   。 看 起 来 这 样 的 内 部 实 体 似 乎 无 害 ， 但 攻 击 者 可 以 使 用 X M L 实 体 通 过 在 实 体 内 嵌 入 实 体 来 导 致 拒 绝 服 务 攻 击 。 通 常 被 称 为 “   （ B i l l i o n   L a u g h s   a t t a c k ） 十 亿 笑 攻 击   ” 。 某 些 X M L 解 析 器 会 自 动 限 制 它 们 可 以 使 用 的 内 存 量 。 如 ： r e q u e s t : r e s p o n s e : H T T P / 1 . 0   2 0 0   O K
H e l l o   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d   W o r l d W o r l d   W o r l d   W o r l d 0 x 3 ) : 外 部 普 通 实 体 外 部 实 体 用 于 加 载 外 部 文 件 的 内 容 。 ( 显 示 X X E 攻 击 主 要 利 用 普 通 实 体 ) 外 部 普 通 实 体 语 法 ： < ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I / U R L " 如 ： 0 x 4 ) : 外 部 参 数 实 体 参 数 实 体 用 于 D T D 和 文 档 的 内 部 子 集 中 。 与 一 般 实 体 不 同 ， 是 以 字 符 （ % ） 开 始 ， 以 字 符 ( ; ) 结 束 。 只 有 在 D T D 文 件 中 才 能 在 参 数 实 体 声 明 的 时 候 引 用 其 他 实 体 。 ( B l i n d   X X E 攻 击 常 利 用 参 数 实 体 进 行 数 据 回 显 ) c o m b i n e . d t d 的 内 容 为 ： < ! E N T I T Y   c o n t e n t   " % p a r m 1 ; % p a r m 2 ; % p a r m 3 ; " > 说 明 ： 上 面 c o m b i n e . d t d 中 定 义 了 一 个 基 本 实 体 ， 引 用 了 3 个 参 数 实 体 ： % p a r a m 1 ; ， % p a r a m 2 ; ， % p a r a m 3 ; 。 解 析 后 < f o o > … < / f o o > 中 的 内 容 为 H e l l o   W o r l d 。
X M L 外 部 实 体 的 一 些 限 制 与 解 决 办 法 外 部 实 体 的 一 些 限 制 与 解 决 办 法 e r r o r 通 常 对 于 X X E 的 经 典 用 法 ， 用 来 读 取 文 件 比 较 直 接 方 便 ， 但 是 ， 也 决 定 了 能 被 解 析 的 内 容 元 素 必 须 是 X M L 文 档 。 如 下 面 一 个 例 子 ： r e q u e s t : r e s p o n s e : 通 常 会 得 到 如 下 响 应 H T T P / 1 . 0   5 0 0   I n t e r n a l   S e r v e r   E r r o r F i l e   " f i l e : / / / e t c / f s t a b " ,   l i n e   3 l x m l . e t r e e . X M L S y n t a x E r r o r :   S p e c i f i c a t i o n   m a n d a t e   v a l u e   f o r   a t t r i b u t e   s y s t e m ,   l i n e   3 ,   c o l u m n   1 5 . . . / e t c / f s t a b 是 一 个 包 含 一 些 看 起 来 像 X M L 的 字 符 的 文 件 （ 即 使 它 们 不 是 X M L ） 。 这 将 导 致 X M L 解 析 器 尝 试 解 析 这 些 元 素 ， 只 是 注 意 到 它 不 是 有 效 的 X M L 文 档 。 因 此 ， 这 限 制 了 X M L 外 部 实 体 （ X X E ） 在 以 下 两 个 重 要 方 面 ： X X E 只 能 用 于 获 取 包 含 “ 有 效 ” X M L 的 文 件 或 响 应 X X E 不 能 用 于 获 取 二 进 制 文 件 X M L 外 部 实 体 （ 外 部 实 体 （ X X E ） 限 制 解 决 办 法 ） 限 制 解 决 办 法 这 其 实 也 就 用 到 了 外 部 参 数 实 体 ， 解 决 了 命 名 实 体 和 普 通 实 体 所 带 来 的 一 些 问 题 。 具 体 如 下 分 析 ： 攻 击 者 可 以 通 过 使 用 一 些 巧 妙 的 技 巧 来 解 决 上 述 限 制 。 攻 击 者 使 用 X M L 外 部 实 体 （ X X E ） 攻 击 所 面 临 的 主 要 问 题 是 ， 它 很 容 易 撞 了 南 墙 试 图 e x f i l t r a t e 不 是 有 效 的 X M L 文 件 （ 包 含 X M L 特 殊 字 符 ， 如 例 如 ， 文 件 明 文 文 件 时 & ， <   a n d   > ） 。
理 论 上 的 解 决 办 法 理 论 上 的 解 决 办 法 X M L 已 经 解 决 了 这 个 问 题 ， 因 为 有 些 合 法 的 情 况 可 能 需 要 在 X M L 文 件 中 存 储 X M L 特 殊 字 符 。 C D A T A X M L 解 析 器 忽 略 （ C h a r a c t e r   D a t a ） 标 记 中 的 特 殊 X M L 字 符 。 因 此 ， 从 理 论 上 讲 ， 攻 击 者 可 以 发 送 类 似 于 以 下 内 容 的 请 求 。 r e q u e s t : 预 期 r e s p o n s e : 但 实 际 上 并 不 起 作 用 ， 因 为 X M L 规 范 不 允 许 将 外 部 实 体 外 部 实 体 与 内 部 实 体 内 部 实 体 结 合 使 用 。 内 部 实 体 代 码 示 例 ： 外 部 实 体 代 码 示 例 ：
参 数 实 体 然 而 ， 攻 击 者 仍 然 可 以 扔 出 手 里 的 另 一 张 牌 - — — 参 数 实 体 ， 在 得 到 以 上 限 制 解 决 方 法 之 前 先 理 解 两 个 重 点 ： 重 点 一 ： 重 点 一 ： 实 体 分 为 两 种 ， 内 部 实 体 和 外 部 实 体 ， 上 面 我 们 举 的 例 子 就 是 内 部 实 体 ， 但 是 实 体 实 际 上 可 以 从 外 部 的   d t d   文 件 中 引 用 ， 我 们 看 下 面 的 代 码 ： 还 是 以 上 代 码 重 点 二 ： 重 点 二 ： 我 们 上 面 已 经 将 实 体 分 成 了 两 个 派 别 （ 内 部 实 体 和 外 部 实 体 ） ， 但 是 实 际 上 从 另 一 个 角 度 看 ， 实 体 也 可 以 分 成 两 个 派 别 （ 通 用 实 体 和 参 数 实 体 ） 通 用 实 体 用 & 实 体 名 : 引 用 的 实 体 ， 他 在 D T D 中 定 义 ， 在 X M L 文 档 中 引 用 。 示 例 代 码 ： 参 数 实 体
( 1 ) 使 用   %   实 体 名 ( 这 里 面 空 格 不 能 少 这 里 面 空 格 不 能 少 )   在   D T D   中 定 义 ， 并 且 只 能 在 只 能 在   D T D   中 使 用 中 使 用   % 实 体 名 ;   引 用 引 用   ( 2 ) 只 有 在   D T D   文 件 中 ， 参 数 实 体 的 声 明 才 能 引 用 其 他 实 体 。 ( 3 ) 和 通 用 实 体 一 样 ， 参 数 实 体 也 可 以 外 部 引 用 。 示 例 代 码 ： 参 数 实 体 在 我 们   B l i n d   X X E   中 起 到 了 至 关 重 要 的 作 用 接 下 来 怎 么 做 ？ （ 解 决 办 法 ） 除 了 一 般 实 体 一 般 实 体 ， 这 是 我 们 到 目 前 为 止 所 看 到 的 ， 还 有 参 数 实 体 参 数 实 体 。   以 下 是 参 数 实 体 的 外 观 。 它 与 一 般 实 体 相 同 ， 除 了 它 存 在 于 D T D 内 部 并 以 ％ 作 为 前 缀 开 始 ， 以 指 示 X M L 解 析 器 正 在 定 义 参 数 实 体 （ 不 是 通 用 实 体 ） 。 在 下 面 的 示 例 中 ， 参 数 实 体 用 于 定 义 通 用 实 体 ， 然 后 在 X M L 文 档 内 部 调 用 该 实 体 。 r e q u e s t : 考 虑 到 上 面 的 示 例 ， 攻 击 者 现 在 可 以 通 过 创 建 在 a t t a c k e r . c o m / e v i l . d t d 上 托 管 的 恶 意 D T D ， 将 上 面 的 理 论 C D A T A 示 例 转 换 为 工 作 攻 击 。 r e q u e s t :
解 析 ： 当 攻 击 者 发 送 上 述 请 求 时 ， X M L 解 析 器 将 首 先 % d t d 通 过 向 h t t p : / / a t t a c k e r . c o m / e v i l . d t d 发 出 请 求 来 尝 试 处 理 参 数 实 体 。 一 旦 下 载 了 攻 击 者 的 D T D ， X M L 解 析 器 将 加 载 % f i l e 参 数 实 体 （ 来 自 e v i l . d t d ） ， 在 本 例 中 是 / e t c / f s t a b 。 然 后 它 将 分 别 < ! [ C D A T A [   ] ] > 使 用 % s t a r t 和 % e n d 参 数 实 体 将 文 件 的 内 容 包 装 在 标 签 中 ， 并 将 它 们 存 储 在 另 一 个 名 为 的 参 数 实 体 中 % a l l 。 这 个 技 巧 的 核 心 是 % a l l 创 建 一 个 被 调 用 的 通 用 实 体 & f i l e C o n t e n t s ; ， 它 可 以 作 为 响 应 的 一 部 分 包 含 在 攻 击 者 中 。 注 ： 请 记 住 ， 攻 击 者 可 以 只 使 用 D T D 内 参 数 实 体 ， 而 不 是 内 部 的 X M L 文 档 。 结 果 是 回 复 攻 击 者 ， 文 件 （ / e t c / f s t a b ） 的 内 容 包 含 在 C D A T A 标 签 中 。 X X E 审 计 函 数 审 计 函 数 X M L 解 析 一 般 在 导 入 配 置 、 数 据 传 输 接 口 等 场 景 可 能 会 用 到 ， 涉 及 到 X M L 文 件 处 理 的 场 景 可 查 看 X M L 解 析 器 是 否 禁 用 外 部 实 体 ， 从 而 判 断 是 否 存 在 X X E 。 部 分 X M L 解 析 接 口 （ 常 见 漏 洞 出 现 函 数 ） 如 下 ：
以 上 是 今 天 分 享 的 内 容 ， 在 下 期 文 章 中 我 将 继 续 分 享 B l i n d   X X E 与 O O B - X X E 的 相 关 知 识 点 以 及 X X E 防 御 方 法 等 ， 小 伙 伴 们 不 要 错 过 哦 ！ 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理