搜索

[20877] 2017-08-27_浅谈XXE攻击

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-08-27_浅谈XXE攻击 浅 谈 X X E 攻 击 L e m o n S e c   2 0 1 7 - 0 8 - 2 7 转 载 于 f r e e b u f 0 × 0 0 .   介 绍 介 绍 现 在 越 来 越 多 主 要 的 w e b 程 序 被 发 现 和 报 告 存 在 X X E ( X M L   E x t e r n a l   E n t i t y   a t t a c k ) 漏 洞 ， 比 如 说 f a c e b o o k 、 p a y p a l 等 等 。   举 个 例 子 ， 我 们 扫 一 眼 这 些 网 站 最 近 奖 励 的 漏 洞 ， 充 分 证 实 了 前 面 的 说 法 。 尽 管 X X E 漏 洞 已 经 存 在 了 很 多 年 ， 但 是 它 从 来 没 有 获 得 它 应 得 的 关 注 度 。 很 多 X M L 的 解 析 器 默 认 是 含 有 X X E 漏 洞 的 ， 这 意 味 着 开 发 人 员 有 责 任 确 保 这 些 程 序 不 受 此 漏 洞 的 影 响 。   本 文 主 要 讨 论 什 么 是 本 文 主 要 讨 论 什 么 是 X M L 外 部 实 体 ， 这 些 外 部 实 体 是 如 何 被 攻 击 的 。 外 部 实 体 ， 这 些 外 部 实 体 是 如 何 被 攻 击 的 。 0 × 0 1 .   什 么 是 什 么 是 X M L 外 部 实 体 ？ 外 部 实 体 ？ 如 果 你 了 解 X M L ， 你 可 以 把 X M L 理 解 为 一 个 用 来 定 义 数 据 的 东 东 。 因 此 ， 两 个 采 用 不 同 技 术 的 系 统 可 以 通 过 X M L 进 行 通 信 和 交 换 数 据 。   比 如 ， 下 图 就 是 一 个 用 来 描 述 一 个 职 工 的 X M L 文 档 样 本 ， 其 中 的 ’ n a m e ’ , ' s a l a r y ’ , ' a d d r e s s ’   被 称 为 X M L 的 元 素 。 有 些 X M L 文 档 包 含 s y s t e m 标 识 符 定 义 的 “ 实 体 ” ， 这 些 X M L 文 档 会 在 D O C T Y P E 头 部 标 签 中 呈 现 。 这 些 定 义 的 ’ 实 体 ’ 能 够 访 问 本 地 或 者 远 程 的 内 容 。 比 如 ， 下 面 的 X M L 文 档 样 例 就 包 含 了 X M L   ‘ 实 体 ’ 。 在 上 面 的 代 码 中 ，   X M L 外 部 实 体   ‘ e n t i t y e x ’   被 赋 予 的 值 为 ： f i l e : / / e t c / p a s s w d 。 在 解 析 X M L 文 档 的 过 程 中 ， 实 体 ’ e n t i t y e x ’ 的 值 会 被 替 换 为 U R I ( f i l e : / / e t c / p a s s w d ) 内 容 值 （ 也 就 是 p a s s w d 文 件 的 内 容 ） 。   关 键 字 ’ S Y S T E M ’ 会 告 诉 X M L 解 析 器 ， ’ e n t i t y e x ’ 实 体 的 值 将 从 其 后 的 U R I 中 读 取 。 因 此 ， X M L 实 体 被 使 用 的 次 数 越 多 ， 越 有 帮 助 。 0 × 0 2 .   什 么 是 什 么 是 X M L 外 部 实 体 攻 击 ？ 外 部 实 体 攻 击 ？ 有 了 X M L 实 体 ， 关 键 字 ’ S Y S T E M ’ 会 令 X M L 解 析 器 从 U R I 中 读 取 内 容 ， 并 允 许 它 在 X M L 文 档 中 被 替 换 。 因 此 ， 攻 击 者 可 以 通 过 实 体 将 他 自 定 义 的 值 发 送 给 应 用 程 序 ， 然 后 让 应 用 程 序 去 呈 现 。   简 单 来 说 ， 攻 击 者 强 制 X M L 解 析 器 去 访 问 攻 击 者 指 定 的 资 源 内 容 （ 可 能 是 系 统 上 本 地 文 件 亦 或 是 远 程 系 统 上 的 文 件 ） 。 比 如 ， 下 面 的 代 码 将 获 取 系 统 上 f o l d e r / f i l e 的 内 容 并 呈 献 给 用 户 。
0 × 0 3 .   怎 么 甄 别 一 个 怎 么 甄 别 一 个 X M L 实 体 攻 击 漏 洞 ？ 实 体 攻 击 漏 洞 ？ 最 直 接 的 回 答 就 是 ：   甄 别 那 些 接 受 X M L 作 为 输 入 内 容 的 端 点 。   但 是 有 时 候 ， 这 些 端 点 可 能 并 不 是 那 么 明 显 ( 比 如 ， 一 些 仅 使 用 J S O N 去 访 问 服 务 的 客 户 端 ) 。 在 这 种 情 况 下 ， 渗 透 测 试 人 员 就 必 须 尝 试 不 同 的 测 试 方 式 ， 比 如 修 改 H T T P 的 请 求 方 法 ， 修 改 C o n t e n t - T y p e 头 部 字 段 等 等 方 法 ， 然 后 看 看 应 用 程 序 的 响 应 ， 看 看 程 序 是 否 解 析 了 发 送 的 内 容 ， 如 果 解 析 了 ， 那 么 则 可 能 有 X X E 攻 击 漏 洞 。 0 × 0 4 .   如 何 确 认 如 何 确 认 X X E 漏 洞 ？ 漏 洞 ？ 出 于 演 示 的 目 的 ， 我 们 将 用 到 一 个 A c u n e t i x 维 护 的 d e m o 站 点 ， 这 个 站 点 就 是 :   h t t p : / / t e s t h t m l 5 . v u l n w e b . c o m / 。 这 个 站 点 可 用 于 测 试 A c u n e t i x   w e b 扫 描 器 的 功 能 。   访 问   h t t p : / / t e s t h t m l 5 . v u l n w e b . c o m /   站 点 ， 点 击   ‘ L o g i n ’ 下 面 的   ‘ F o r g o t   P a s s w o r d ’   链 接 。 注 意 观 察 应 用 程 序 怎 样 使 用 X M L 传 输 数 据 ， 过 程 如 下 图 所 示 ： 请 求 ： 响 应 ： 观 察 上 面 的 请 求 与 响 应 ， 我 们 可 以 看 到 ， 应 用 程 序 正 在 解 析 X M L 内 容 ， 接 受 特 定 的 输 入 ， 然 后 将 其 呈 现 给 用 户 。 为 了 测 试 验 证 X M L 解 析 器 确 实 正 在 解 析 和 执 行 我 们 自 定 义 的 X M L 内 容 ， 我 们 发 送 如 下 的 请 求 修 改 后 的 请 求 和 响 应 ：
如 上 图 所 示 ， 我 们 在 上 面 的 请 求 中 定 义 了 一 个 名 为 m y e n t i t y 、 值 为 ’ t e s t i n g ’ 的 实 体 。   响 应 报 文 清 晰 地 展 示 了 解 析 器 已 经 解 析 了 我 们 发 送 的 X M L 实 体 ， 然 后 并 将 实 体 内 容 呈 现 出 来 了 。   由 此 ， 我 们 可 以 确 认 ， 这 个 应 用 程 序 存 在 X X E 漏 洞 。 0 × 0 5 .   如 何 进 行 如 何 进 行 X X E 攻 击 ？ 攻 击 ？ C o d e   1 :                           1 .   T o   r e a d   f i l e s   o n   s a m e   s e r v e r :                         < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? >                             < ! D O C T Y P E   f o o   [                             < ! E N T I T Y   m y e n t i t y   S Y S T E M   " f i l e : / / / l o c a t i o n / a n y f i l e "   > ] >                         < a b c > & m y e n t i t y ; < / a b c >                   2 .   T o   c r a s h   t h e   s e r v e r   /   C a u s e   d e n i a l   o f   s e r v i c e :      
              < ? x m l   v e r s i o n = " 1 . 0 " ? >                             < ! D O C T Y P E   l o l z   [                           < ! E N T I T Y   l o l   " l o l " >                         < ! E N T I T Y   l o l 2   " & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; & l o l ; " >                         < ! E N T I T Y   l o l 3   " & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; & l o l 2 ; " >                     < ! E N T I T Y   l o l 4   " & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; & l o l 3 ; " >                     < ! E N T I T Y   l o l 5   " & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; & l o l 4 ; " >                     < ! E N T I T Y   l o l 6   " & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; & l o l 5 ; " >                     < ! E N T I T Y   l o l 7   " & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; & l o l 6 ; " >                     < ! E N T I T Y   l o l 8   " & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; & l o l 7 ; " >
上 面 样 例 代 码 1 中 的 X X E 漏 洞 攻 击 就 是 著 名 的 ’ b i l l i o n   l a u g h s ’ ( h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / B i l l i o n _ l a u g h s ) 攻 击 ， 该 攻 击 通 过 创 建 一 项 递 归 的   X M L   定 义 ， 在 内 存 中 生 成 十 亿 个 ” H a ！ ” 字 符 串 ， 从 而 导 致   D D o S   攻 击 。 原 理 为 ： 构 造 恶 意 的 X M L 实 体 文 件 耗 尽 可 用 内 存 ， 因 为 许 多 X M L 解 析 器 在 解 析 X M L 文 档 时 倾 向 于 将 它 的 整 个 结 构 保 留 在 内 存 中 ， 解 析 非 常 慢 ， 造 成 了 拒 绝 服 务 器 攻 击 。 除 了 这 些 ， 攻 击 者 还 可 以 读 取 服 务 器 上 的 敏 感 数 据 ， 还 能 通 过 端 口 扫 描 ， 获 取 后 端 系 统 的 开 放 端 口 。 影 响 影 响 : 此 漏 洞 非 常 危 险 ,   因 为 此 漏 洞 会 造 成 服 务 器 上 敏 感 数 据 的 泄 露 ， 和 潜 在 的 服 务 器 拒 绝 服 务 攻 击 。 补 救 措 施 ： 补 救 措 施 ： 上 面 讨 论 的 主 要 问 题 就 是 X M L 解 析 器 解 析 了 用 户 发 送 的 不 可 信 数 据 。 然 而 ， 要 去 校 验 D T D ( d o c u m e n t   t y p e   d e f i n i t i o n ) 中 S Y S T E M 标 识 符 定 义 的 数 据 ， 并 不 容 易 ， 也 不 大 可 能 。 大 部 分 的 X M L 解 析 器 默 认 对 于 X X E 攻 击 是 脆 弱 的 。 因 此 ， 最 好 的 解 决 办 法 就 是 配 置 X M L 处 理 器 去 使 用 本 地 静 态 的 D T D ， 不 允 许 X M L 中 含 有 任 何 自 己 声 明 的 D T D 。 比 如 下 面 的 J a v a 代 码 ， 通 过 设 置 相 应 的 属 性 值 为 f a l s e ， X M L 外 部 实 体 攻 击 就 能 够 被 阻 止 。 因 此 ， 可 将 外 部 实 体 、 参 数 实 体 和 内 联 D T D   都 被 设 置 为 f a l s e ， 从 而 避 免 基 于 X X E 漏 洞 的 攻 击 。   以 下 是 代 码 的 第 二 段                     < ! E N T I T Y   l o l 9   " & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; & l o l 8 ; " >                     ] >                             < l o l z > & l o l 9 ; < / l o l z > i m p o r t   j a v a x . x m l . p a r s e r s . D o c u m e n t B u i l d e r F a c t o r y ;                           i m p o r t   j a v a x . x m l . p a r s e r s . P a r s e r C o n f i g u r a t i o n E x c e p t i o n ;   / /   c a t c h i n g   u n s u p p o r t e d   f e a t u r e s                       . . .                     D o c u m e n t B u i l d e r F a c t o r y   d b f   =   D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ;      
              t r y   {                         / /   X e r c e s   1   -   h t t p : / / x e r c e s . a p a c h e . o r g / x e r c e s - j / f e a t u r e s . h t m l # e x t e r n a l - g e n e r a l - e n t i t i e s / /   X e r c e s   2   -   h t t p : / / x e r c e s . a p a c h e . o r g / x e r c e s 2 - j / f e a t u r e s . h t m l # e x t e r n a l - g e n e r a l - e n t i t i e s S t r i n g   F E A T U R E   =   " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s " ; d b f . s e t F e a t u r e ( F E A T U R E ,   f a l s e ) ; / /   X e r c e s   1   -   h t t p : / / x e r c e s . a p a c h e . o r g / x e r c e s - j / f e a t u r e s . h t m l # e x t e r n a l - p a r a m e t e r - e n t i t i e s / /   X e r c e s   2   -   h t t p : / / x e r c e s . a p a c h e . o r g / x e r c e s 2 - j / f e a t u r e s . h t m l # e x t e r n a l - p a r a m e t e r - e n t i t i e s F E A T U R E   =   " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s " ; d b f . s e t F e a t u r e ( F E A T U R E ,   f a l s e ) ; / /   X e r c e s   2   o n l y   -   h t t p : / / x e r c e s . a p a c h e . o r g / x e r c e s 2 - j / f e a t u r e s . h t m l # d i s a l l o w - d o c t y p e - d e c l
F E A T U R E   =   " h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l " ; d b f . s e t F e a t u r e ( F E A T U R E ,   t r u e ) ; / /   r e m a i n i n g   p a r s e r   l o g i c . . . c a t c h   ( P a r s e r C o n f i g u r a t i o n E x c e p t i o n   e )   { / /   T h i s   s h o u l d   c a t c h   a   f a i l e d   s e t F e a t u r e   f e a t u r e l o g g e r . i n f o ( " P a r s e r C o n f i g u r a t i o n E x c e p t i o n   w a s   t h r o w n .   T h e   f e a t u r e   ' "   + F E A T U R E   + " '   i s   p r o b a b l y   n o t   s u p p o r t e d   b y   y o u r   X M L   p r o c e s s o r . " ) ; . . .
} c a t c h   ( S A X E x c e p t i o n   e )   { / /   O n   A p a c h e ,   t h i s   s h o u l d   b e   t h r o w n   w h e n   d i s a l l o w i n g   D O C T Y P E l o g g e r . w a r n i n g ( " A   D O C T Y P E   w a s   p a s s e d   i n t o   t h e   X M L   d o c u m e n t " ) ; . . . } c a t c h   ( I O E x c e p t i o n   e )   { / /   X X E   t h a t   p o i n t s   t o   a   f i l e   t h a t   d o e s n ' t   e x i s t l o g g e r . e r r o r ( " I O E x c e p t i o n   o c c u r r e d ,   X X E   m a y   s t i l l   p o s s i b l e :   "   +   e . g e t M e s s a g e ( ) ) ; . .   }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理