搜索

[20630] 2021-06-25_实战挖掘文件导入处的XXE漏洞

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-06-25_实战挖掘文件导入处的XXE漏洞 实 战 挖 掘 文 件 导 入 处 的 X X E 漏 洞 原 创   Y 1 S h u i   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 6 - 2 5 一 、 X X E 简 述 X X E （ X M L   E x t e r n a l   E n t i t y   I n j e c t i o n ） 全 称 是 X M L 外 部 实 体 注 入 ， 当 服 务 端 允 许 引 用 外 部 实 体 时 ， 通 过 构 造 恶 意 p a y l o a d 就 可 能 造 成 任 意 文 件 读 取 、 内 网 端 口 探 测 甚 至 命 令 执 行 等 危 害 。 知 识 储 备 ， 自 己 之 前 也 是 学 的 迷 迷 糊 糊 的 ， 这 次 重 新 理 一 下 思 路 。 D T D （ 文 档 定 义 类 型 ） ， D T D 可 在 X M L 内 部 进 行 声 明 ， 也 可 以 外 部 引 用 。 ] > x m l 要 按 下 面 的 格 式 进 行 编 写   外 部 声 明 格 式 ： 内 部 声 明 格 式 如 下 ： < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   n o t e   [                                                                                     # 定 义 文 档 类 型   < ! E L E M E N T   n o t e   ( t o , f r o m , h e a d i n g , b o d y ) >     # 定 义 n o t e 四 个 元 素 “ t o , f r o m , h e a d i n g , b o d y ”   < ! E L E M E N T   t o             ( # P C D A T A ) >                               # 定 义 元 素 类 型 为 P C D A T A （ 会 被 解 析 的 文 本 ）   < ! E L E M E N T   f r o m         ( # P C D A T A ) >                             # C D A T A 类 型 （ 不 会 被 解 析 ）   < ! E L E M E N T   h e a d i n g   ( # P C D A T A ) >   < ! E L E M E N T   b o d y         ( # P C D A T A ) > < n o t e >   < t o > G e o r g e < / t o >   < f r o m > J o h n < / f r o m >   < h e a d i n g > R e m i n d e r < / h e a d i n g >   < b o d y > D o n ' t   f o r g e t   t h e   m e e t i n g ! < / b o d y > < / n o t e > < ? x m l   v e r s i o n = " 1 . 0 " ? > < ! D O C T Y P E   n o t e   S Y S T E M " n o t e . d t d " >                         # 调 用 n o t e . d t d   < n o t e > < t o > G e o r g e < / t o > < f r o m > J o h n < / f r o m > < h e a d i n g > R e m i n d e r < / h e a d i n g > < b o d y > D o n ' t   f o r g e t   t h e m e e t i n g ! < / b o d y > < / n o t e >
  D T D 实 体 ， 实 体 是 用 于 定 义 引 用 普 通 文 本 或 特 殊 字 符 的 快 捷 方 式 的 变 量 。   内 部 引 用 ：   外 部 引 用 ：     二 、 测 试 过 程 O f f i c e 从 2 0 0 7 版 本 引 入 了 新 的 开 放 的 X M L 文 件 格 式 ， 更 改 为 . z i p 文 件 进 行 解 压 后 即 可 发 现 相 关 s h e e t 信 息 和 [ C o n t e n t _ T y p e s ] . x m l 文 件 。             1 、 在 某 次 测 试 中 发 现 了 模 板 下 载 和 导 入 两 个 功 能 点 2 、 点 击 模 板 下 载 ， 成 功 下 载 到 本 地 模 板 . x l s 文 件 ， 对 文 件 进 行 另 存 为 . x l s x 格 式 ， 并 对 文 件 修 改 后 缀 名 为 . z i p ， 解 压 如 下 ： < / n o t e > n o t e . d t d 内 容 < ! E L E M E N T   n o t e ( t o , f r o m , h e a d i n g , b o d y ) > < ! E L E M E N T   t o   ( # P C D A T A ) > < ! E L E M E N T   f r o m   ( # P C D A T A ) > < ! E L E M E N T   h e a d i n g   ( # P C D A T A ) > < ! E L E M E N T   b o d y   ( # P C D A T A ) > X M L ： < a u t h o r > & w r i t e r ; & c o p y r i g h t ; < / a u t h o r >                               # 内 部 引 用 D T D 实 体 w r i t e r 和 c o p y r i g h t D T D ： < ! E N T I T Y   w r i t e r   " B i l l G a t e s " >                                                                     # 实 体 名 称 “ w r i t e r ”   值 “ B i l l   G a t e s ” < ! E N T I T Y   c o p y r i g h t   " C o p y r i g h t   W 3 S c h o o l . c o m . c n " > X M L ： < a u t h o r > & w r i t e r ; & c o p y r i g h t ; < / a u t h o r >                               D T D :                                                                                                                                             # 实 体 内 容 为 外 部 实 体 < ! E N T I T Y   w r i t e r   S Y S T E M " h t t p : / / w w w . w 3 s c h o o l . c o m . c n / d t d / e n t i t i e s . d t d " > < ! E N T I T Y   c o p y r i g h t   S Y S T E M   " h t t p : / / w w w . w 3 s c h o o l . c o m . c n / d t d / e n t i t i e s . d t d " >
3 、 向 [ C o n t e n t _ T y p e s ] . x m l 文 件 中 插 入 d n s l o g   p a y l o a d 进 行 测 试 。 4 、 文 件 保 存 ， 重 新 压 缩 并 重 命 名 为 . x l s x 文 件 ， 上 传 文 件 ， 查 看 d n s l o g 记 录 导 入 完 毕 D n s l o g 出 现 记 录 ， 服 务 端 对 X M L 进 行 了 解 析 5 、 由 于 是 j a v a 的 站 ， 这 里 使 用 f t p 对 数 据 进 行 外 带 （ p h p 的 站 可 以 使 用 b a s e 6 4 编 码 进 行 数 据 外 带 ） 使 用 x x e s e r v 工 具 进 行 测 试 ， 这 个 工 具 集 成 了 f t p 和 h t t p 链 接 ： h t t p s : / / g i t h u b . c o m / s t a a l d r a a d / x x e s e r v x x e s e r v 为 g o 编 写 ， g o   b u i l d 编 译 一 下   外 部 实 体 s p 2 . d t d :
  启 动 h t t p 和 f t p ， h t t p 默 认 端 口 2 1 2 2 ， f t p 默 认 端 口 2 1 2 1   更 改 p a y l o a d ， 引 入 外 部 实 体 （ 此 处 p a y l o a d 要 与 外 部 d t d 相 对 应 ） 6 、 再 次 导 入 文 件 此 时 f t p 接 收 到 相 关 信 息   三 、 总 结               文 中 简 述 了 X X E 漏 洞 基 本 原 理 和 D T D 类 型 格 式 ， 在 某 些 文 件 导 入 的 功 能 处 也 可 能 存 在 相 关 漏 洞 。   参 考 链 接 ： h t t p s : / / w w w . w 3 s c h o o l . c o m . c n / d t d / d t d _ i n t r o . a s p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理