搜索

[19462] 2019-03-12_漏洞经验分享丨Java审计之XXE（下）

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-03-12_漏洞经验分享丨Java审计之XXE（下） 漏 洞 经 验 分 享 丨 J a v a 审 计 之 X X E （ 下 ） i 春 秋   2 0 1 9 - 0 3 - 1 2 上 篇 内 容 我 们 介 绍 了 X X E 的 基 础 概 念 和 审 计 函 数 的 相 关 内 容 ， 今 天 我 们 将 继 续 分 享 B l i n d   X X E 与 O O B - X X E 的 知 识 点 以 及 X X E 防 御 方 法 ， 希 望 对 大 家 的 学 习 有 所 帮 助 ！   上 期 回 顾 上 期 回 顾   ◀ 漏 洞 经 验 分 享 丨 J a v a 审 计 之 X X E （ 上 ） B l i n d X X E B l i n d   X X E 与 与 O O B - X X E 一 般 X X E 利 用 分 为 两 大 场 景 ： 有 回 显 和 无 回 显 。 有 回 显 的 情 况 可 以 直 接 在 页 面 中 看 到 P a y l o a d 的 执 行 结 果 或 现 象 （ 带 内 X M L 外 部 实 体 （ X X E ） ， 即 攻 击 者 可 以 发 送 带 有 X X E 有 效 负 载 的 请 求 并 从 包 含 某 些 数 据 的 W e b 应 用 程 序 获 取 响 应 ） ， 无 回 显 的 情 况 又 称 为 B l i n d   X X E ， 可 以 使 用 外 带 数 据 通 道 提 取 数 据 即 带 外 X M L 外 部 实 体 （ O O B - X X E ） 。 以 下 是 攻 击 者 如 何 利 用 参 数 实 体 使 用 带 外 （ O O B ） 技 术 窃 取 数 据 的 示 例 。 r e q u e s t :
X M L 解 析 器 将 首 先 处 理 % f i l e 加 载 文 件 的 参 数 实 体 / e t c / l s b - r e l e a s e 。 接 下 来 ， X M L 解 析 器 将 在 h t t p : / / a t t a c k e r . c o m / e v i l . d t d 向 攻 击 者 的 D T D 发 出 请 求 。 一 旦 处 理 了 攻 击 者 的 D T D ， a l l % 参 数 实 体 将 创 建 一 个 名 为 ＆ ＆ s e n d 的 通 用 实 体 通 用 实 体 ;   ， 其 中 包 含 一 个 包 含 文 件 内 容 的 U R L （ 例 如 h t t p : / / a t t a c k e r . c o m / ? c o l l e c t = D I S T R I B _ I D = U b u n t u   … ） 。 最 后 ， 一 旦 U R L 构 造 的 & s e n d ;   实 体 由 解 析 器 处 理 ， 解 析 器 向 攻 击 者 的 服 务 器 发 出 请 求 。 然 后 ， 攻 击 者 可 以 在 其 结 尾 处 记 录 请 求 ， 并 从 记 录 的 请 求 中 重 建 文 件 的 内 容 。 知 道 何 为 B l i n d   X X E 后 ， 这 里 再 分 析 一 下 原 理 ： B l i n d   X X E 原 理 原 理 带 外 数 据 通 道 的 建 立 是 使 用 嵌 套 形 式 ， 利 用 外 部 实 体 中 的 U R L 发 出 访 问 ， 从 而 跟 攻 击 者 的 服 务 器 发 生 联 系 。 直 接 在 内 部 实 体 定 义 中 引 用 另 一 个 实 体 的 方 法 如 下 ， 但 是 这 种 方 法 行 不 通 。 但 是 这 样 做 行 不 通 ， 原 因 是 不 能 在 实 体 定 义 中 引 用 参 数 实 体 ， 即 有 些 解 释 器 不 允 许 在 内 层 实 体 中 使 用 外 部 连 接 ， 无 论 内 层 是 一 般 实 体 还 是 参 数 实 体 。 解 决 方 案 是 ： 解 决 方 案 是 ： 将 嵌 套 的 实 体 声 明 放 入 到 一 个 外 部 文 件 中 ， 这 里 一 般 是 放 在 攻 击 者 的 服 务 器 上 ， 这 样 做 可 以 规 避 错 误 。 如 下 ： p a y l o a d
n c   - l v v   p o r t   监 听 即 可 获 得 请 求 回 显 内 容 。 X X E 利 用 利 用 示 例 无 回 显 读 取 本 地 敏 感 文 件 （ B l i n d   O O B   X X E ） ： 此 部 分 演 示 借 用 p h p 中 X X E 进 行 说 明 x m l . p h p t e s t . d t d p a y l o a d ：
整 个 调 用 过 程 ： 整 个 调 用 过 程 ： 我 们 从   p a y l o a d   中 能 看 到   连 续 调 用 了 三 个 参 数 实 体   % r e m o t e ; % i n t ; % s e n d ; ， 这 就 是 我 们 的 利 用 顺 序 ， % r e m o t e 先 调 用 ， 调 用 后 请 求 远 程 服 务 器 上 的   t e s t . d t d   ， 有 点 类 似 于 将   t e s t . d t d   包 含 进 来 ， 然 后   % i n t   调 用   t e s t . d t d   中 的   % f i l e ,   % f i l e   就 会 去 获 取 服 务 器 上 面 的 敏 感 文 件 。 将   % f i l e   的 结 果 填 入 到   % s e n d   以 后 ( 因 为 实 体 的 值 中 不 能 有   % ,   所 以 将 其 转 成 h t m l 实 体 编 码   % ) ， 我 们 再 调 用   % s e n d ;   把 我 们 的 读 取 到 的 数 据 发 送 到 我 们 的 远 程   v p s   上 ， 这 样 就 实 现 了 外 带 数 据 的 效 果 ， 完 美 的 解 决 了   X X E   无 回 显 的 问 题 。 新 的 利 用 ： 如 图 所 示 注 意 ： 注 意 ： 1 、 其 中 从 2 0 1 2 年 9 月 开 始 ， O r a c l e   J D K 版 本 中 删 除 了 对 g o p h e r 方 案 的 支 持 ， 后 来 又 支 持 的 版 本 是   O r a c l e   J D K   1 . 7   u p d a t e   7   和 O r a c l e   J D K   1 . 6   u p d a t e   3 5   。 2 、 l i b x m l   是   P H P   的   x m l   支 持 。 n e t d o c 协 议 协 议
另 外 对 于 带 外 X X E 还 可 以 通 过 b u r p   进 行 测 试 如 （ 附 上 两 张 图 ） ：
关 于 b u r p 此 插 件 还 可 在 多 个 场 景 测 试 中 用 到 ， 比 如 X S S 、 S Q L 、 S S R F 等 。 最 后 ， 分 享 一 下 审 计 中 遇 到 两 个 X X E 的 审 计 与 利 用 思 路 过 程 。 第 一 处 出 现 在 系 统 使 用 的 o r g . d o m 4 j . D o c u m e n t H e l p e r 调 用 的 类 函 数 下 。 在 源 码 中 搜 索 关 键 字 D o c u m e n t H e l p e r . p a r s e T e x t 得 到 ： x x x * * * * * * . j a v a   L i n e   3 0 3 :         d o c u m e n t   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l ) ; x x x * * * X m l P a r s e r . j a v a   L i n e   5 1 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; x x x * * * * * * T a s k . j a v a   L i n e   3 5 0 :         D o c u m e n t   d o c u m e n t   =   D o c u m e n t H e l p e r . p a r s e T e x t ( r e s u l t ) ; x x x * * * * * * A c t i o n . j a v a   L i n e   2 3 7 :         D o c u m e n t   d o c u m e n t   =   D o c u m e n t H e l p e r . p a r s e T e x t ( m a p D a t a F o r O u t ) ; x x x * * * x x x A c t i o n . j a v a   L i n e   2 5 9 :         D o c u m e n t   d o c u m e n t   =   D o c u m e n t H e l p e r . p a r s e T e x t ( m a p D a t a F o r O u t ) ; x x x * * * x x x . j a v a   L i n e   1 2 0 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( p o l i c y X m l . r e p l a c e A l l ( " _ l n x " ,   " " ) ) ; L i n e   1 2 5 :         d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( n o d e . a s X M L ( ) ) ; x x x * * * t i o n . j a v a   L i n e   1 0 9 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; x x x * * * . j a v a   L i n e   5 8 :         d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l ) ;   / /   将 字 符 串 转 为 X M L x x x * * * . j a v a   L i n e   9 2 :         d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l ) ; L i n e   9 7 :         o l d D o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( v a i l d X m l ) ;
x x x * * * O b j C o n v e r t e r . j a v a   L i n e   1 7 3 :           D o c u m e n t   d o c u m e n t   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l ) ; x x x * * * . j a v a   L i n e   9 4 9 :           d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( i n f o r . g e t C o n t e n t ( ) ) ; x x x * * * U t i l i t y . j a v a   L i n e   1 2 0 3 :           D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( r e s u l t ) ; x x x * * * x x x S e r v i c e . j a v a   L i n e   1 7 7 :           D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( r e q u e s t H e a d e r ) ; x x x * * * E v e n t P a r s e r . j a v a   L i n e   8 3 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; L i n e   1 8 5 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; L i n e   2 2 9 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; L i n e   3 0 6 :         D o c u m e n t H e l p e r . p a r s e T e x t ( c o n t e n t X m l ) ) . r e p l a c e A l l ( " < " ,   " < " ) . r e p l a c e A l l ( " > " ,   " > " ) . r e p l a c e A l l ( " = = a m p ; " ,     x x x * * * X M L M e s s a g e U t i l . j a v a   L i n e   2 4 :         d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l ) ; L i n e   1 3 1 :         t e m p D o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l ) ; L i n e   2 2 4 :         d o c u m e n t   =   D o c u m e n t H e l p e r . p a r s e T e x t ( " < a > < b > < / b > < / a > " ) ; x x x * * * X m l P a r s e r . j a v a   L i n e   5 1 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; x x x * * * . j a v a   L i n e   2 4 4 :         D o c u m e n t   d o c   =   D o c u m e n t H e l p e r . p a r s e T e x t ( x m l S t r ) ; 其 中 ， x x x * * * X M L M e s s a g e U t i l . j a v a 代 码 中 使 用 o r g . d o m 4 j . D o c u m e n t H e l p e r . p a r s e T e s t 解 析 X M L 文 件 。 第 二 处 ， 发 现 位 置 是 在 查 看 w e b . x m l 文 件 中 A x i s S e r v l e t 的 s e r v l e t - m a p p i n g 配 置 ， 发 现 U R L 地 址 包 含 以 下 路 径 或 后 缀 就 可 被 攻 击 利 用 。
在 通 过 访 问 以 下 U R L 即 可 访 问 到 A x i s S e r v l e t 服 务 ， 可 对 其 进 行 X X E 漏 洞 攻 击 。 h t t p s : / / i p / x x x / s e r v l e t / A x i s S e r v l e t h t t p s : / / i p / * * * / s e r v l e t / A x i s S e r v l e t P O C ： 在 复 现 时 由 于 目 标 主 机 无 法 访 问 外 网 ， 所 以 需 要 在 本 地 主 机 上 搭 建 测 试 环 境 ， 具 体 的 复 现 过 程 如 下 ： 1 ） 新 建 目 录 x x e _ t e s t ， 复 制 下 面 文 件 放 入 t e s t . d t d 2 ） 在 x x e _ t e s t 目 录 下 运 行 如 下 命 令 ， 监 听 8 0 8 0 端 口 （ 检 查 防 火 墙 是 否 开 放 该 端 口 ） P y t h o n   - m   S i m p l e H T T P S e r v e r   8 0 8 0 3 ） 运 行 以 下 脚 本 ， 启 动 f t p 服 务 器 （ 检 查 防 火 墙 是 否 开 放 2 1 端 口 ） P y t h o n   x x e - f t p . p y
4 ） 发 送 以 下 报 文 ：
漏 洞 截 图 漏 洞 截 图 成 功 获 取 到 受 害 主 机 的 / e t c / s h a d o w 文 件 结 束 。 另 外 ， 也 可 以 使 用 工 具 X X E i n j e c t o r   完 成 带 外 攻 击 。 X X E 防 御 防 御 使 用 语 言 中 推 荐 的 禁 用 外 部 实 体 的 方 法 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理