搜索

[17222] 2020-01-13_XXE从入门到放弃

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-01-13_XXE从入门到放弃 X X E 从 入 门 到 放 弃 原 创   绝 影 小 组   G c o w 安 全 团 队   2 0 2 0 - 0 1 - 1 3 一 、 一 、 认 识 认 识 X M L 和 和 X X E X X E 全 称 X M L   E x t e r n a l   E n t i t y   I n j e c t i o n ， 也 就 是 X M L 外 部 实 体 注 入 攻 击 ， 是 对 非 安 全 的 外 部 实 体 数 据 进 行 处 理 时 引 发 的 安 全 问 题 。 要 想 搞 懂 X X E ， 肯 定 要 先 了 解 X M L 语 法 规 则 和 外 部 实 体 的 定 义 及 调 用 形 式 。 X M L 基 础 知 识 基 础 知 识 X M L 用 于 标 记 电 子 文 件 使 其 具 有 结 构 性 的 标 记 语 言 ， 可 以 用 来 标 记 数 据 、 定 义 数 据 类 型 ， 是 一 种 允 许 用 户 对 自 己 的 标 记 语 言 进 行 定 义 的 源 语 言 。 X M L 文 档 结 构 包 括 X M L 声 明 、 D T D 文 档 类 型 定 义 （ 可 选 ） 、 文 档 元 素 。 X M L 语 法 规 则 如 下 ： 语 法 规 则 如 下 ： 1 .   所 有 的 所 有 的 X M L 元 素 都 必 须 有 一 个 关 闭 标 签 元 素 都 必 须 有 一 个 关 闭 标 签 2 .   X M L 标 签 对 大 小 写 敏 感 标 签 对 大 小 写 敏 感 3 .   X M L 必 须 正 确 嵌 套 必 须 正 确 嵌 套 4 .   X M L 属 性 值 必 须 加 引 号 属 性 值 必 须 加 引 号 ” ” 5 .   实 体 引 用 实 体 引 用 （ 在 标 签 属 性 ， 以 及 对 应 的 位 置 值 可 能 会 出 现 < > 符 号 ， 但 是 这 些 符 号 在 对 应 的 X M L 中 都 是 有 特 殊 含 义 的 ， 这 时 候 我 们 必 须 使 用 对 应 h t m l 的 实 体 对 应 的 表 示 ， 比 如 < 傅 好 对 应 的 实 体 就 是 l t ， > 符 号 对 应 的 实 体 就 是 g t ） 6 .   在 在 X M L 中 ， 空 格 会 被 保 留 中 ， 空 格 会 被 保 留 （ 案 例 如 ： < p > a 空 格 B < / p > ， 这 时 候 a 和 B 之 间 的 空 格 就 会 被 保 留 ）   X M L 元 素 介 绍 元 素 介 绍 X M L 元 素 是 指 从 （ 且 包 括 ） 开 始 标 签 直 到 （ 且 包 括 ） 结 束 标 签 的 部 分 。 每 个 元 素 又 有 可 以 有 对 应 的 属 性 。 X M L 属 性 必 须 加 引 号 。
  注 意 ： ( 1 )   X M L 文 档 必 须 有 一 个 根 元 素 文 档 必 须 有 一 个 根 元 素 ( 2 )   X M L 元 素 都 必 须 有 一 个 关 闭 标 签 元 素 都 必 须 有 一 个 关 闭 标 签 ( 3 )   X M L 标 签 对 大 小 写 敏 感 标 签 对 大 小 写 敏 感 ( 4 )   X M L 元 素 必 须 被 正 确 的 嵌 套 元 素 必 须 被 正 确 的 嵌 套 ( 5 )   X M L 属 性 值 必 须 加 引 号 属 性 值 必 须 加 引 号   X M L   D T D 介 绍 介 绍 D T D 文 档 类 型 定 义 ， 约 束 了 x m l 文 档 的 结 构 。 拥 有 正 确 语 法 的 X M L 被 称 为 “ 形 式 良 好 ” 的 X M L ， 通 过 D T D 验 证 约 束 X M L 是 “ 合 法 ” 的 X M L 。    

  D T D 是 什 么 ？ 是 什 么 ？ X M L   文 档 有 自 己 的 一 个 格 式 规 范 ， 这 个 格 式 规 范 是 由 一 个 叫 做   D T D 文 档 类 型 定 义 （ d o c u m e n t   t y p e   d e f i n i t i o n ）   的 东 西 控 制 的 。 D T D 用 来 描 述 x m l 文 档 的 结 构 ， 一 个 D T D 文 档 包 含 ：     元 素 的 定 义 规 则 ； 元 素 之 间 的 关 系 规 则 ； 属 性 的 定 义 规 则 。 D T D   可 被 成 行 地 声 明 于   X M L   文 档 中 ， 也 可 作 为 一 个 外 部 引 用 。   他 就 是 长 得 下 面 这 个 样 子 ： 内 部 的 内 部 的   D O C T Y P E   声 明 声 明 内 部 声 明 D T D 类 型     内 部 声 明 D T D 类 型 声 明 ： < ! D O C T Y P E   根 元 素 [ 子     元 素 声 明 ] > 引 用 外 部 实 体 ： 引 用 外 部 实 体 ： 我 们 主 要 关 注 X M L 外 部 实 体 的 定 义 和 调 用 方 式 ： < ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I " >  
        D T D 数 据 类 型 数 据 类 型 P C D A T A 的 意 思 是 被 解 析 的 字 符 数 据 / P C D A T A 的 意 思 是 被 解 析 的 字 符 数 据 ， P C D A T A 是 会 被 解 析 器 解 析 的 文 本   C D A T A 的 意 思 是 字 符 数 据 C D A T A 是 不 会 被 解 析 器 解 析 的 文 本 ， 在 这 些 文 本 中 的 标 签 不 会 被 当 作 标 记 来 对 待 ， 其 中 的 实 体 也 不 会 被 展 开 。   D T D 实 体 介 绍 实 体 介 绍 （ 实 体 定 义 ） 实 体 是 用 于 定 义 引 用 普 通 文 本 或 者 特 殊 字 符 的 快 捷 方 式 的 变 量             在 D T D 中 的 实 体 类 型 ， 一 般 分 为 ： 内 部 实 体 和 外 部 实 体 ， 细 分 又 分 为 一 般 实 体 和 参 数 实 体 。 除 外 部 参 数 实 体 引 用 以 字 符 （ % ） 开 始 外 ， 其 它 实 体 都 以 字 符 （ & ） 开 始 ， 以 字 符 （ ; ） 结 束 。 内 部 实 体 ： 内 部 实 体 ： < ! E N T I T Y   实 体 名 称   " 实 体 的 值 " >   外 部 实 体 ： 外 部 实 体 ：
< ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I / U R L " > 外 部 参 数 实 体 ： 外 部 参 数 实 体 ： < ! E N T I T Y   %   实 体 名   " 实 体 内 容 ” > X M L 注 入 产 生 的 原 理 注 入 产 生 的 原 理   X X E 漏 洞 全 称 X M L   E x t e r n a l   E n t i t y   I n j e c t i o n 即 x m l 外 部 实 体 注 入 漏 洞 ， X X E 漏 洞 发 生 在 应 用 程 序 解 析 X M L 输 入 时 ， 没 有 禁 止 外 部 实 体 的 加 载 ， 导 致 可 加 载 恶 意 外 部 文 件 ， 造 成 文 件 读 取 、 命 令 执 行 、 内 网 端 口 扫 描 、 攻 击 内 网 网 站 、 发 起 d o s 攻 击 等 危 害 。 x x e 漏 洞 触 发 的 点 往 往 是 可 以 上 传 x m l 文 件 的 位 置 ， 没 有 对 上 传 的 x m l 文 件 进 行 过 滤 ， 导 致 可 上 传 恶 意 x m l 文 件 。 x x e 漏 洞 触 发 的 点 往 往 是 可 以 上 传 X M L 文 件 约 位 置 ， 没 有 对 上 传 的 X M L 文 件 进 行 过 滤 ， 导 致 可 以 上 传 恶 意 的 X M L 文 件 。   怎 么 判 断 网 站 是 否 存 在 怎 么 判 断 网 站 是 否 存 在 X X E 漏 洞 漏 洞 最 直 接 的 方 法 就 是 用 b u r p 抓 包 ， 然 后 ， 修 改 H T T P 请 求 方 法 ， 修 改 C o n t e n t - T y p e 头 部 字 段 等 等 ， 查 看 返 回 包 的 响 应 ， 看 看 应 用 程 序 是 否 解 析 了 发 送 的 内 容 ， 一 旦 解 析 了 ， 那 么 有 可 能 X X E 攻 击 漏 洞 ， 接 下 来 ， 来 看 一 个 小 小 的 展 示 ： 这 个 是 测 试 x x e 的 测 试 点 ： h t t p : / / 1 6 9 . 2 5 4 . 4 . 5 2 / b W A P P / x x e - 1 . p h p 我 们 点 击 下 面 的 A n y   b u g s 然 后 用 b u r p 抓 包  
    我 们 随 便 输 入 下  
从 上 面 我 们 可 以 看 到 ， w e b 应 用 正 在 解 析 x m l 的 内 容 ， 接 受 用 户 特 定 或 者 自 定 义 的 输 入 ， 然 后 呈 现 给 用 户 。 为 了 验 证 ， 我 们 可 以 构 造 如 下 的 输 入 ： n > b e e 3 3 3 3 3 ; & t e s t ; < / l o g i n > < s e c r e t > A n y   b u g s ? < / s e c r e t > < / r e s e t > 可 以 看 到 应 用 程 序 确 实 是 直 接 解 析 了 x m l ， 那 么 如 果 x m l 文 档 中 有 一 个 参 数 是 用 来 调 用 远 程 服 务 器 的 内 容 ？ 这 个 参 数 是 可 控 的 , 我 们 可 以 做 什 么 ？ X X E 漏 洞 漏 洞 - 文 件 读 取 文 件 读 取 P H P 中 测 试 P O C F i l e : / / / p a t h / t o / f i l e . e x t h t t p : / / u r l / f i l e . e x t P H P : / / f i l t e r / r e a d = c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = / h o m e / b e e / t e s t . p h p 读 取 文 档 读 取 文 档 有 回 显 的 有 回 显 的 x x e 利 用 利 用 P a y l o a d :
读 取 读 取 p h p 文 件 文 件 直 接 读 取 p h p 文 件 会 报 错 ， 因 为 p h p 文 件 里 面 有 < > / / 等 特 殊 字 符 ， x m l 解 析 时 候 会 当 成 x m l 语 法 来 解 析 。 这 时 候 就 分 不 清 处 哪 个 是 真 正 的 x m l 语 句 了 ，   直 接 利 用 f i l e 协 议 读 取 P H P 文 件 ， 就 会 产 生 报 错 。 那 么 需 要 b a s e 6 4 编 码 来 读 取 ，   P a y l o a d ： 进 行 解 密 后 得 到 对 应 内 容  
  本 地 测 试 无 回 显 注 入 读 取 文 件 本 地 测 试 无 回 显 注 入 读 取 文 件   但 是 ， 在 实 际 情 况 中 ， 大 多 数 情 况 下 服 务 器 上 的   X M L   并 不 是 输 出 用 的 ， 所 以 就 少 了 输 出 这 一 环 节 ， 这 样 的 话 ， 即 使 漏 洞 存 在 ， 我 们 的 p a y l o a d 的 也 被 解 析 了 ， 但 是 由 于 没 有 输 出 ， 我 们 也 不 知 道 解 析 得 到 的 内 容 是 什 么 ， 因 此 我 们 想 要 现 实 中 利 用 这 个 漏 洞 就 必 须 找 到 一 个 不 依 靠 其 回 显 的 方 法 — — 外 带 数 据             先 看 一 下 漏 洞 示 例 ： 相 较 于 前 面 有 回 显 的 漏 洞 代 码 ， 我 们 去 掉 了 内 容 输 出 的 一 部 分 。 这 样 ， 用 之 前 的 p a y l o a d 就 没 有 作 用 了 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理