搜索

[20876] 2017-08-27_XXE漏洞攻防

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-08-27_XXE漏洞攻防 X X E 漏 洞 攻 防 L e m o n S e c   2 0 1 7 - 0 8 - 2 7 一 、 X M L 基 础 知 识 X M L 用 于 标 记 电 子 文 件 使 其 具 有 结 构 性 的 标 记 语 言 ， 可 以 用 来 标 记 数 据 、 定 义 数 据 类 型 ， 是 一 种 允 许 用 户 对 自 己 的 标 记 语 言 进 行 定 义 的 源 语 言 。 X M L 文 档 结 构 包 括 X M L 声 明 、 D T D 文 档 类 型 定 义 （ 可 选 ） 、 文 档 元 素 。 D T D （ 文 档 类 型 定 义 ） 的 作 用 是 定 义   X M L   文 档 的 合 法 构 建 模 块 。 D T D   可 以 在   X M L   文 档 内 声 明 ， 也 可 以 外 部 引 用 。 内 部 声 明 内 部 声 明 D T D < ! D O C T Y P E   根 元 素   [ 元 素 声 明 ] > 引 用 外 部 引 用 外 部 D T D < ! D O C T Y P E   根 元 素   S Y S T E M   " 文 件 名 " > 或 者 < ! D O C T Y P E   根 元 素   P U B L I C   " p u b l i c _ I D "   " 文 件 名 " >   D T D 实 体 是 用 于 定 义 引 用 普 通 文 本 或 特 殊 字 符 的 快 捷 方 式 的 变 量 ， 可 以 内 部 声 明 或 外 部 引 用 。 内 部 声 明 实 体 内 部 声 明 实 体 < ! E N T I T Y   实 体 名 称   " 实 体 的 值 " > 引 用 外 部 实 体 引 用 外 部 实 体 < ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I " > 或 者
< ! E N T I T Y   实 体 名 称   P U B L I C   " p u b l i c _ I D "   " U R I " >   二 、 二 、 X M L 外 部 实 体 注 入 外 部 实 体 注 入 ( X M L   E x t e r n a l   E n t i t y ) 当 允 许 引 用 外 部 实 体 时 ， 通 过 构 造 恶 意 内 容 ， 可 导 致 读 取 任 意 文 件 、 执 行 系 统 命 令 、 探 测 内 网 端 口 、 攻 击 内 网 网 站 等 危 害 。   引 入 外 部 实 体 方 式 有 多 种 ， 比 如 ： 恶 意 引 入 外 部 实 体 方 式 恶 意 引 入 外 部 实 体 方 式 1 ： ： X M L 内 容 ： 恶 意 引 入 外 部 实 体 方 式 恶 意 引 入 外 部 实 体 方 式 2 ： ： X M L 内 容 ： D T D 文 件 ( e v i l . d t d ) 内 容 ： 恶 意 引 入 外 部 实 体 方 式 恶 意 引 入 外 部 实 体 方 式 3 ： ： X M L 内 容 ： D T D 文 件 ( e v i l . d t d ) 内 容 ： 另 外 ， 不 同 程 序 支 持 的 协 议 不 一 样 ，
上 图 是 默 认 支 持 协 议 ， 还 可 以 支 持 其 他 ， 如 P H P 支 持 的 扩 展 协 议 有 以 下 举 例 说 明 X X E 危 害 ， 当 然 X X E 不 止 这 些 危 害 。 X X E 危 害 危 害 1 ： 读 取 任 意 文 件 ： 读 取 任 意 文 件 该 C A S E 是 读 取 / e t c / p a s s w d ， 有 些 X M L 解 析 库 支 持 列 目 录 ， 攻 击 者 通 过 列 目 录 、 读 文 件 ， 获 取 帐 号 密 码 后 进 一 步 攻 击 ， 如 读
取 t o m c a t - u s e r s . x m l 得 到 帐 号 密 码 后 登 录 t o m c a t 的 m a n a g e r 部 署 w e b s h e l l 。 另 外 ， 数 据 不 回 显 就 没 有 问 题 了 吗 ？ 如 下 图 ， 不 ， 可 以 把 数 据 发 送 到 远 程 服 务 器 ， 远 程 e v i l . d t d 文 件 内 容 如 下 ： 触 发 X X E 攻 击 后 ， 服 务 器 会 把 文 件 内 容 发 送 到 攻 击 者 网 站 X X E 危 害 危 害 2 ： 执 行 系 统 命 令 ： 执 行 系 统 命 令
该 C A S E 是 在 安 装 e x p e c t 扩 展 的 P H P 环 境 里 执 行 系 统 命 令 ， 其 他 协 议 也 有 可 能 可 以 执 行 系 统 命 令 。   X X E 危 害 危 害 3 ： 探 测 内 网 端 口 ： 探 测 内 网 端 口 该 C A S E 是 探 测 1 9 2 . 1 6 8 . 1 . 1 的 8 0 、 8 1 端 口 ， 通 过 返 回 的 “ C o n n e c t i o n   r e f u s e d ” 可 以 知 道 该 8 1 端 口 是 c l o s e d 的 ， 而 8 0 端 口 是 o p e n 的 。   X X E 危 害 危 害 4 ： 攻 击 内 网 网 站 ： 攻 击 内 网 网 站
该 C A S E 是 攻 击 内 网 s t r u t s 2 网 站 ， 远 程 执 行 系 统 命 令 。   三 、 三 、 客 户 端 客 户 端 X X E 案 例 案 例 日   前 ， 某 o f f i c e 文 档 转 换 软 件 被 爆 存 在 X X E 漏 洞 （ P S : 感 谢 T S R C 平 台 白 帽 子 T i t a n s ` 报 告 漏 洞 ） ， 某 一 应 用 场 景 为 ： W e b 程 序 调 用 该   o f f i c e 软 件 来 获 取 o f f i c e 文 档 内 容 后 提 供 在 线 预 览 。 由 于 该 软 件 在 处 理 o f f i c e 文 档 时 ， 读 取 x m l 文 件 且 允 许 引 用 外 部 实 体 ， 当 用 户 上 传 恶 意 文   档 并 预 览 时 触 发 X X E 攻 击 。 详 情 如 下 ： 新 建 一 个 正 常 文 档 ， 内 容 为 H i   T S R C ， 使 用 该 软 件 转 换 后 可 以 得 到 文 本 格 式 的 文 档 内 容 ，
当 往 该 d o c x 的 x m l 文 件 注 入 恶 意 代 码 （ 引 用 外 部 实 体 ） 时 ， 可 进 行 X X E 攻 击 。 四 、 四 、 防 御 防 御 X X E 攻 击 攻 击 方 案 一 、 使 用 开 发 语 言 提 供 的 禁 用 外 部 实 体 的 方 法 方 案 一 、 使 用 开 发 语 言 提 供 的 禁 用 外 部 实 体 的 方 法 P H P ： l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; J A V A : D o c u m e n t B u i l d e r F a c t o r y   d b f   = D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ; d b f . s e t E x p a n d E n t i t y R e f e r e n c e s ( f a l s e ) ; P y t h o n ： f r o m   l x m l   i m p o r t   e t r e e x m l D a t a   =   e t r e e . p a r s e ( x m l S o u r c e , e t r e e . X M L P a r s e r ( r e s o l v e _ e n t i t i e s = F a l s e ) )   方 案 二 、 过 滤 用 户 提 交 的 方 案 二 、 过 滤 用 户 提 交 的 X M L 数 据 数 据            
关 键 词 ： < ! D O C T Y P E 和 < ! E N T I T Y ， 或 者 ， S Y S T E M 和 P U B L I C 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理