搜索

[12918] 2018-07-08_从最近的微信支付看XXE漏洞

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-07-08_从最近的微信支付看XXE漏洞 从 最 近 的 微 信 支 付 看 X X E 漏 洞 路 上 路 人 路 过   F r e e B u f   2 0 1 8 - 0 7 - 0 8 先 说 下 写 这 篇 文 章 的 初 衷 吧 ， 最 近 微 信 支 付 先 说 下 写 这 篇 文 章 的 初 衷 吧 ， 最 近 微 信 支 付 j a v a _ s d k 刚 爆 发 了 一 次 刚 爆 发 了 一 次 x x e 漏 洞 ， 然 后 领 导 赶 快 用 自 家 的 静 态 代 码 审 漏 洞 ， 然 后 领 导 赶 快 用 自 家 的 静 态 代 码 审 计 工 具 做 了 审 计 （ 这 里 我 就 不 报 名 字 ， 本 来 可 以 帮 公 司 推 广 下 产 品 是 很 好 的 ， 但 我 怕 本 文 过 于 基 础 会 被 各 位 大 计 工 具 做 了 审 计 （ 这 里 我 就 不 报 名 字 ， 本 来 可 以 帮 公 司 推 广 下 产 品 是 很 好 的 ， 但 我 怕 本 文 过 于 基 础 会 被 各 位 大 佬 喷 出 翔 来 ， 到 时 候 有 辱 佬 喷 出 翔 来 ， 到 时 候 有 辱 “ 司 司 ” 门 就 真 是 罪 过 罪 过 了 ） 。 门 就 真 是 罪 过 罪 过 了 ） 。 发 现 能 成 功 找 出 漏 洞 点 ， 如 下 图 。 到 目 前 本 来 是 件 极 好 的 事 情 ， 但 是 发 现 使 用 自 己 规 则 修 复 后 依 然 能 扫 描 出 漏 洞 ， 这 就 很 能 说 明 问 题 ， 于 是 老 大 让 我 对 微 信 支 付 漏 洞 做 漏 洞 研 究 并 找 出 产 品 出 问 题 的 原 因 。 所 以 才 有 了 这 篇 文 章 。 由 于 本 文 的 初 衷 是 为 了 改 进 产 品 ， 所 以 本 文 并 不 是 为 了 深 入 研 究 x x e 漏 洞 ， 更 加 适 合 开 发 人 员 看 。 微 信 支 付 的 s d k 中 提 供 了 W X P a y U t i l 这 个 工 具 类 ， 该 类 中 实 现 了 x m l t o M a p 和 m a p t o X m l 这 两 个 方 法 ， 而 这 次 的 微 信 支 付 的 x x e 漏 洞 爆 发 点 就 在 x m l t o M a p 方 法 中 。
该 方 法 是 为 了 将 x m l 格 式 的 字 符 串 s t r X M L 转 化 为 m a p 。 由 于 s t r X M L 可 由 攻 击 者 控 制 ， 且 程 序 未 作 任 何 防 护 措 施 （ 如 禁 止 引 用 外 部 实 体 ； 过 滤 关 键 字 符 串 等 ） ， 导 致 恶 意 攻 击 者 可 利 用 外 部 实 体 注 入 读 取 服 务 器 上 的 文 件 。 当 攻 击 者 获 取 支 付 加 密 所 用 的 安 全 密 匙 后 ， 完 全 可 以 实 现 0 元 支 付 商 品 。 这 里 先 以 微 信 s d k 中 的 x m l T o M a p 方 法 为 例 ， 复 现 该 x x e 漏 洞 。 （ 由 于 要 完 整 的 实 现 微 信 零 元 支 付 ， 需 要 写 比 较 完 整 的 程 序 对 接 微 信 支 付 接 口 ， 比 较 耗 时 间 ， 暂 时 先 不 做 ） 。 出 现 问 题 的 代 码 是 ： 生 成 d o c u m e n t B u i l d e r F a c t o r y 后 直 接 去 解 析 流 。 构 造 x m l 格 式 的 字 符 串 如 下 : 这 样 m a p T o X m l 中 D O M 解 析 器 解 析 该 字 符 串 时 ， 会 访 问 外 部 实 体 中 的 S Y S T E M 属 性 中 标 识 的 U R L ， 并 将 读 取 的 文 件 内 容 放 入 m e t h o d c c a l l 节 点 中 。 然 后 取 出 放 入 m a p 中 （ 实 际 场 景 中 m a p 中 的 值 最 后 会 被 攻 击 者 所 获 取 ， 我 们 这 里 以 在 控 制 台 输 出 为 例 ） ， 能 成 功 读 取 系 统 文 件 。 一 、 完 全 禁 用 一 、 完 全 禁 用 D T D s ， 生 成 ， 生 成 d o c u m e n t B u i l d e r F a c t o r y 后 对 后 对 f e a t u r e 进 行 设 置 进 行 设 置 d o c u m e n t B u i l d e r F a c t o r y . s e t F e a t u r e ( “ h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l “ , t r u e ) ; 效 果 如 下 ： D o c u m e n t B u i l d e r F a c t o r y   d o c u m e n t B u i l d e r F a c t o r y   =   D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ; o r g . w 3 c . d o m . D o c u m e n t   d o c   =   d o c u m e n t B u i l d e r . p a r s e ( s t r e a m ) ; < ? x m l   v e r s i o n = ' 1 . 0 '   e n c o d i n g = ' u t f - 8 ' ? > < ! D O C T Y P E   x d s e c   [ < ! E L E M E N T   m e t h o d n a m e   A N Y > < ! E N T I T Y   x x e   S Y S T E M   ' f i l e : / / / c : / w i n d o w s / w i n . i n i ' > ] > < m e t h o d c a l l > < m e t h o d n a m e > & x x e ; < / m e t h o d n a m e > < / m e t h o d c a l l >
程 序 会 报 错 ， 提 示 将 该 属 性 设 为 t r u e 。 二 、 生 成 二 、 生 成 d o c u m e n t B u i l d e r F a c t o r y 后 对 后 对 f e a t u r e 进 行 设 置 进 行 设 置 效 果 如 下 ： 程 序 虽 然 不 会 报 错 ， 但 是 已 经 读 取 不 出 系 统 文 件 中 的 内 容 了 。 三 、 对 关 键 词 做 过 滤 ， 如 三 、 对 关 键 词 做 过 滤 ， 如 E N T I T Y 、 、   D O C T Y P E 对 以 上 三 种 防 范 方 式 做 分 析 ： 推 荐 使 用 第 一 种 ， 能 处 理 掉 绝 大 多 数 的 x x e 漏 洞 ； 当 有 需 求 不 能 全 部 禁 用 掉 D T D 时 ， 使 用 第 二 种 方 法 ； 不 建 议 使 用 第 三 种 方 法 ， 如 果 不 然 很 容 易 被 绕 过 ， 如 使 用 E N T I E N T I T Y T Y 等 等 情 况 来 绕 过 。 微 信 支 付 s d k 中 使 用 的 是 原 生 的 d o m 解 析 x m l ， 接 下 里 分 别 复 现 使 用 原 生 S A X 解 析 x m l 、 使 用 d o m 4 j 解 析 x m l 、 使 用 j d o m 解 析 x m l 这 三 种 实 现 方 式 的 x x e 漏 洞 以 及 修 复 方 法 （ 修 复 原 理 是 一 样 的 ， 方 法 都 类 似 的 ， 但 为 了 方 便 之 后 产 品 规 则 的 完 善 ， 这 里 全 部 列 举 出 来 ） 使 用 原 生 S A X 解 析 x m l d o c u m e n t B u i l d e r F a c t o r y . s e t X I n c l u d e A w a r e ( f a l s e ) ;                     d o c u m e n t B u i l d e r F a c t o r y . s e t E x p a n d E n t i t y R e f e r e n c e s ( f a l s e ) ;                                                                                 d o c u m e n t B u i l d e r F a c t o r y . s e t F e a t u r e ( " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s " , f a l s e ) ;                                                                   d o c u m e n t B u i l d e r F a c t o r y . s e t F e a t u r e ( " h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s " ,   f a l s e ) ;
问 题 在 于 生 成 S A X P a r s e r F a c t o r y 后 直 接 去 解 析 x m l 了 ， 修 复 方 法 添 加 属 性 s f . s e t F e a t u r e ( “ h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l “ , t r u e ) ; 效 果 如 下 ： 使 用 d o m 4 j 解 析 x m l ： 修 复 方 法 ： r e a d e r . s e t F e a t u r e ( “ h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l “ , t r u e ) ; 效 果 如 下 ： S A X R e a d e r   r e a d e r     =   n e w   S A X R e a d e r ( ) ; I n p u t S t r e a m   s t r e a m   =   n e w   B y t e A r r a y I n p u t S t r e a m ( s t r X M L . g e t B y t e s ( " U T F - 8 " ) ) ; D o c u m e n t   d o c   =   r e a d e r . r e a d ( s t r e a m ) ;
使 用 J d o m 解 析 x m l 修 复 方 法 如 下 ： 效 果 如 下 ： 最 后 是 对 S k y J a v a 审 计 W x P a y A P I 结 果 的 分 析 ： S k y J a v a 是 报 了 两 个 x x e 漏 洞 ， 分 别 是 W X p a y U t i l . j a v a 中 的 m a p T o X m l 和 x m l T o M a p 这 两 个 方 法 。 其 中 这 次 的 微 信 支 付 x x e 漏 洞 爆 发 点 是 在 x m l T o M a p ， 所 以 两 个 中 一 个 是 正 确 的 一 个 是 误 报 。 先 分 析 误 报 ： S A X B u i l d e r     b u i l d e r   =   n e w   S A X B u i l d e r ( ) ; D o c u m e n t   d o c   =   b u i l d e r . b u i l d ( s t r e a m ) ; b u i l d e r . s e t F e a t u r e ( " h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l " , t r u e ) ;
该 方 法 是 实 现 将 m a p 中 的 键 值 对 取 出 后 生 成 x m l 的 节 点 ， 并 将 其 放 在 根 节 点 中 ， 像 这 种 情 况 ， 就 算 m a p 是 受 攻 击 者 控 制 的 ， 生 成 x m l 的 时 候 也 不 会 构 造 出 外 部 实 体 的 引 入 。 其 实 x x e 漏 洞 都 是 解 析 的 时 候 出 现 问 题 ， 单 单 只 是 生 成 有 问 题 的 x m l ， 并 不 能 确 定 是 否 存 在 x x e 漏 洞 ， 关 键 还 是 得 看 程 序 去 解 析 它 的 时 候 是 否 有 安 全 措 施 （ 如 上 面 所 说 的 添 加 禁 止 外 部 实 体 引 入 的 属 性 等 ） 。 对 于 该 种 误 报 我 的 建 议 是 ： 不 能 仅 仅 因 为 没 有 设 置 安 全 属 性 就 判 断 存 在 漏 洞 ， 尽 量 是 先 判 断 存 在 解 析 x m l 的 情 况 下 再 根 据 1 .   是 否 有 设 置 安 全 属 性 2 .   S o u r c e 是 否 安 全 来 判 断 是 否 存 在 漏 洞 。 （ 感 觉 不 是 很 好 实 现 ， 以 上 两 段 话 主 观 性 比 较 强 ， 仅 做 参 考 … . . ） 再 说 下 S k y J a v a 报 的 另 外 一 个 点 ， 爆 发 点 确 定 的 是 正 确 的 。 但 头 说 修 复 之 后 还 是 会 报 x x e 漏 洞 ， 所 以 我 看 了 下 修 复 之 后 的 方 法 。 修 复 的 方 法 中 将 h t t p : / / j a v a x . x m l . X M L C o n s t a n t s / f e a t u r e / s e c u r e - p r o c e s s i n g 属 性 设 为 t r u e 。 在 本 地 测 试 效 果 如 下 ， 发 现 并 不 能 防 御 x x e 漏 洞 ， 所 以 不 建 议 使 用 该 方 法 。
再 看 官 方 微 信 支 付 s d k 修 复 这 个 x x e 漏 洞 之 后 的 方 法 是 怎 么 样 的 是 使 用 了 一 个 专 门 的 x m l 工 具 类 来 生 成 D o c u m e n t B u i l d e r 该 类 中 设 置 了 一 些 安 全 属 性 ， 应 该 是 微 信 支 付 为 了 保 险 起 见 吧 ， 同 时 采 用 我 上 面 所 说 的 修 复 方 法 一 和 二 （ 毕 竟 没 有 绝 对 的 安 全 ） 。 但 在 S k y J a v a 的 规 则 上 ， 我 认 为 审 计 的 时 候 只 要 采 举 了 其 中 的 一 种 就 可 以 认 为 不 存 在 x x e 漏 洞 ， 如 果 规 则 上 认 为 两 种 措 施 都 用 才 算 不 存 在 漏 洞 的 话 可 能 会 导 致 误 报 率 较 高 （ 毕 竟 很 多 程 序 都 只 采 用 第 一 种 方 法 防 范 x x e ） 。 最 后 ， 我 还 是 想 说 我 第 一 次 在 F r e e B u f 上 发 表 文 章 ， 望 各 位 大 佬 站 在 培 养 新 人 的 点 上 ， 轻 喷 轻 喷 ！ * 本 文 作 者 ： 路 上 路 人 路 过 ， 属 于 本 文 作 者 ： 路 上 路 人 路 过 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 精 致 转 载 原 创 奖 励 计 划 ， 未 经 许 可 精 致 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理