搜索

[11050] 2017-02-21_浅谈XXE攻击

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-02-21_浅谈XXE攻击 浅 谈 X X E 攻 击 w e n j i a n _ t k 0   F r e e B u f   2 0 1 7 - 0 2 - 2 1 0 × 0 0 .   介 绍 介 绍 现 在 越 来 越 多 主 要 的 w e b 程 序 被 发 现 和 报 告 存 在 X X E ( X M L   E x t e r n a l   E n t i t y   a t t a c k ) 漏 洞 ， 比 如 说 f a c e b o o k 、 p a y p a l 等 等 。 举 个 例 子 ， 我 们 扫 一 眼 这 些 网 站 最 近 奖 励 的 漏 洞 ， 充 分 证 实 了 前 面 的 说 法 。 尽 管 X X E 漏 洞 已 经 存 在 了 很 多 年 ， 但 是 它 从 来 没 有 获 得 它 应 得 的 关 注 度 。 很 多 X M L 的 解 析 器 默 认 是 含 有 X X E 漏 洞 的 ， 这 意 味 着 开 发 人 员 有 责 任 确 保 这 些 程 序 不 受 此 漏 洞 的 影 响 。   本 文 主 要 讨 论 什 么 是 本 文 主 要 讨 论 什 么 是 X M L 外 部 实 体 ， 这 些 外 部 实 体 是 如 何 被 攻 击 的 。 外 部 实 体 ， 这 些 外 部 实 体 是 如 何 被 攻 击 的 。 0 × 0 1 .   什 么 是 什 么 是 X M L 外 部 实 体 ？ 外 部 实 体 ？ 如 果 你 了 解 X M L ， 你 可 以 把 X M L 理 解 为 一 个 用 来 定 义 数 据 的 东 东 。 因 此 ， 两 个 采 用 不 同 技 术 的 系 统 可 以 通 过 X M L 进 行 通 信 和 交 换 数 据 。 比 如 ， 下 图 就 是 一 个 用 来 描 述 一 个 职 工 的 X M L 文 档 样 本 ， 其 中 的 ’ n a m e ’ , ' s a l a r y ’ , ' a d d r e s s ’   被 称 为 X M L 的 元 素 。         有 些 X M L 文 档 包 含 s y s t e m 标 识 符 定 义 的 “ 实 体 ” ， 这 些 X M L 文 档 会 在 D O C T Y P E 头 部 标 签 中 呈 现 。 这 些 定 义 的 ’ 实 体 ’ 能 够 访 问 本 地 或 者 远 程 的 内 容 。 比 如 ， 下 面 的 X M L 文 档 样 例 就 包 含 了 X M L   ‘ 实 体 ’ 。         在 上 面 的 代 码 中 ，   X M L 外 部 实 体   ‘ e n t i t y e x ’   被 赋 予 的 值 为 ： f i l e : / / e t c / p a s s w d 。 在 解 析 X M L 文 档 的 过 程 中 ， 实 体 ’ e n t i t y e x ’ 的 值 会 被 替 换 为 U R I ( f i l e : / / e t c / p a s s w d ) 内 容 值 （ 也 就 是 p a s s w d 文 件 的 内 容 ） 。 关 键 字 ’ S Y S T E M ’ 会 告 诉 X M L 解 析 器 ， ’ e n t i t y e x ’ 实 体 的 值 将 从 其 后 的 U R I 中 读 取 。 因 此 ， X M L 实 体 被 使 用 的 次 数 越 多 ， 越 有 帮 助 。 0 × 0 2 .   什 么 是 什 么 是 X M L 外 部 实 体 攻 击 ？ 外 部 实 体 攻 击 ？ 有 了 X M L 实 体 ， 关 键 字 ’ S Y S T E M ’ 会 令 X M L 解 析 器 从 U R I 中 读 取 内 容 ， 并 允 许 它 在 X M L 文 档 中 被 替 换 。 因 此 ， 攻 击 者 可 以 通 过 实 体 将 他 自 定 义 的 值 发 送 给 应 用 程 序 ， 然 后 让 应 用 程 序 去 呈 现 。 简 单 来 说 ， 攻 击 者 强 制 X M L 解 析 器 去 访 问 攻 击 者 指 定 的 资 源 内 容 （ 可 能 是 系 统 上 本 地 文 件 亦 或 是 远 程 系 统 上 的 文 件 ） 。 比 如 ， 下
面 的 代 码 将 获 取 系 统 上 f o l d e r / f i l e 的 内 容 并 呈 献 给 用 户 。 0 × 0 3 .   怎 么 甄 别 一 个 怎 么 甄 别 一 个 X M L 实 体 攻 击 漏 洞 ？ 实 体 攻 击 漏 洞 ？ 最 直 接 的 回 答 就 是 ：   甄 别 那 些 接 受 X M L 作 为 输 入 内 容 的 端 点 。   但 是 有 时 候 ， 这 些 端 点 可 能 并 不 是 那 么 明 显 ( 比 如 ， 一 些 仅 使 用 J S O N 去 访 问 服 务 的 客 户 端 ) 。 在 这 种 情 况 下 ， 渗 透 测 试 人 员 就 必 须 尝 试 不 同 的 测 试 方 式 ， 比 如 修 改 H T T P 的 请 求 方 法 ， 修 改 C o n t e n t - T y p e 头 部 字 段 等 等 方 法 ， 然 后 看 看 应 用 程 序 的 响 应 ， 看 看 程 序 是 否 解 析 了 发 送 的 内 容 ， 如 果 解 析 了 ， 那 么 则 可 能 有 X X E 攻 击 漏 洞 。 0 × 0 4 .   如 何 确 认 如 何 确 认 X X E 漏 洞 ？ 漏 洞 ？ 出 于 演 示 的 目 的 ， 我 们 将 用 到 一 个 A c u n e t i x 维 护 的 d e m o 站 点 ， 这 个 站 点 就 是 :   h t t p : / / t e s t h t m l 5 . v u l n w e b . c o m / 。 这 个 站 点 可 用 于 测 试 A c u n e t i x   w e b 扫 描 器 的 功 能 。 访 问   h t t p : / / t e s t h t m l 5 . v u l n w e b . c o m /   站 点 ， 点 击   ‘ L o g i n ’ 下 面 的   ‘ F o r g o t   P a s s w o r d ’         链 接 。 注 意 观 察 应 用 程 序 怎 样 使 用 X M L 传 输 数 据 ， 过 程 如 下 图 所 示 ： 请 求 ： 响 应 ： 观 察 上 面 的 请 求 与 响 应 ， 我 们 可 以 看 到 ， 应 用 程 序 正 在 解 析 X M L 内 容 ， 接 受 特 定 的 输 入 ， 然 后 将 其 呈 现 给 用 户 。 为 了 测 试 验 证 X M L 解 析 器 确 实 正 在 解 析 和 执 行 我 们 自 定 义 的 X M L 内 容 ， 我 们 发 送 如 下 的 请 求
修 改 后 的 请 求 和 响 应 ： 如 上 图 所 示 ， 我 们 在 上 面 的 请 求 中 定 义 了 一 个 名 为 m y e n t i t y 、 值 为 ’ t e s t i n g ’ 的 实 体 。   响 应 报 文 清 晰 地 展 示 了 解 析 器 已 经 解 析 了 我 们 发 送 的 X M L 实 体 ， 然 后 并 将 实 体 内 容 呈 现 出 来 了 。   由 此 ， 我 们 可 以 确 认 ， 这 个 应 用 程 序 存 在 X X E 漏 洞 。 0 × 0 5 .   如 何 进 行 如 何 进 行 X X E 攻 击 ？ 攻 击 ？ 上 面 样 例 代 码 1 中 的 X X E 漏 洞 攻 击 就 是 著 名 的 ’ b i l l i o n   l a u g h s ’ ( h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / B i l l i o n _ l a u g h s ) 攻 击 ， 该 攻 击 通 过 创 建 一 项 递 归 的   X M L   定 义 ， 在 内 存 中 生 成 十 亿 个 ” H a ！ ” 字 符 串 ， 从 而 导 致   D D o S   攻 击 。 原 理 为 ： 构 造 恶 意 的 X M L 实 体 文 件 耗 尽 可 用 内 存 ， 因 为 许 多 X M L 解 析 器 在 解 析 X M L 文 档 时 倾 向 于 将 它 的 整 个 结 构 保 留 在 内 存 中 ， 解 析 非 常 慢 ， 造 成 了 拒 绝 服 务 器 攻 击 。 除 了 这 些 ， 攻 击 者 还 可 以 读 取 服 务 器 上 的 敏 感 数 据 ， 还 能 通 过 端 口 扫 描 ， 获 取 后 端 系 统 的 开 放 端 口 。 影 响 影 响 : 此 漏 洞 非 常 危 险 ,   因 为 此 漏 洞 会 造 成 服 务 器 上 敏 感 数 据 的 泄 露 ， 和 潜 在 的 服 务 器 拒 绝 服 务 攻 击 。 补 救 措 施 ： 补 救 措 施 ： 上 面 讨 论 的 主 要 问 题 就 是 X M L 解 析 器 解 析 了 用 户 发 送 的 不 可 信 数 据 。 然 而 ， 要 去 校 验 D T D ( d o c u m e n t   t y p e   d e f i n i t i o n ) 中 S Y S T E M 标 识 符 定 义 的 数 据 ， 并 不 容 易 ， 也 不 大 可 能 。 大 部 分 的 X M L 解 析 器 默 认 对 于 X X E 攻 击 是 脆 弱 的 。 因 此 ， 最 好 的 解 决 办 法 就 是 配 置 X M L 处 理 器 去 使 用 本 地 静 态 的 D T D ， 不 允 许 X M L 中 含 有 任 何 自 己 声 明 的 D T D 。 比 如 下 面 的 J a v a 代 码 ， 通 过 设 置 相 应 的 属 性 值 为 f a l s e ， X M L 外 部 实 体 攻 击 就 能 够 被 阻 止 。 因 此 ， 可 将 外 部 实 体 、 参 数 实 体 和 内 联 D T D   都 被 设 置 为 f a l s e ， 从 而 避 免 基 于 X X E 漏 洞 的 攻 击 。   点 击 阅 读 原 文 查 看 代 码 的 第 二 段 。 * 参 考 来 源 ： r e s o u r c e s ,   译 者 ： w e n j i a n _ t k 0 ， 转 载 请 注 明 来 自 F r e e B u f C o d e   1 :   1 .   T o   r e a d   f i l e s   o n   s a m e   s e r v e r :   < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? >   < ! D O C T Y P E   f o o   [         < ! E N T I T Y   m y e n t i t y   S Y S T E M   " f i l e : / / / l o c a t i o n / a n y f i l e "   > ] >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理