搜索

[2271] 2021-06-24_【Translate】XMLexternalentity

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-16
2021-06-24_【Translate】XMLexternalentity 【 T r a n s l a t e 】 X M L   e x t e r n a l   e n t i t y 原 创   R 1 c h m 0 n d   E D I 安 全   2 0 2 1 - 0 6 - 2 4 点 击 上 方 “ 蓝 字 ” ， 关 注 更 多 精 彩 本 文 以 h t t p s : / / p o r t s w i g g e r . n e t / w e b - s e c u r i t y / x x e 的 技 术 报 告 为 基 础 ， 将 其 翻 译 和 整 理 ， 着 重 梳 理 其 中 “ x x e 攻 击 的 几 种 形 式 ” 等 内 容 ， 核 心 要 点 ： -   读 文 件 ： 定 义 / 构 造 外 部 实 体 的 时 候 包 含 文 件 内 容 ， 并 且 应 用 会 在 响 应 里 将 其 返 回 。 -   进 行 S S R F 攻 击 ： 针 对 后 端 的 U R L 来 定 义 / 构 造 外 部 实 体 。 -   利 用 X X E 盲 打 通 过 带 外 通 道 将 数 据 带 出 ： 将 敏 感 信 息 从 应 用 服 务 器 传 输 到 攻 击 者 控 制 的 系 统 上 。 -   基 于 报 错 信 息 的 X X E 盲 打 来 读 文 件 ： 攻 击 者 触 发 会 包 含 文 件 内 容 的 错 误 ， 通 过 其 错 误 信 息 获 取 敏 感 文 件 内 容 。 - - X X E 攻 击 的 几 种 形 式 1 读 文 件 -   声 明 （ 或 者 编 辑 ） 一 个 D O C T Y P E 元 素 ， 其 定 义 了 一 个 包 含 文 件 路 径 的 外 部 实 体 。 -   通 过 编 辑 X M L 里 会 被 应 用 返 回 的 部 分 ， 来 调 用 已 经 定 义 过 的 外 部 实 体 。 比 如 说 ， 假 设 一 个 商 店 应 用 通 过 接 收 如 下 的 X M L 来 检 查 产 品 的 存 货 ： 应 用 没 有 对 X X E 进 行 特 定 的 防 护 ， 所 以 你 可 以 通 过 利 用 X X E 漏 洞 提 交 如 下 的 p a y l o a d ， 来 读 到 文 件   / e t c / p a s s w d ： x m l < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < s t o c k C h e c k >         < p r o d u c t I d > 3 8 1 < / p r o d u c t I d > < / s t o c k C h e c k >
这 个 X X E   p a y l o a d 定 义 了 一 个 外 部 实 体   & x x e ; 其 值 是 文 件   / e t c / p a s s w d   的 内 容 ， 并 且 在   ` p r o d u c t I d `   的 值 里 调 用 了 这 个 实 体 。 这 会 导 致 应 用 里 的 响 应 包 含 文 件 的 内 容 : 代 码 ： N o t e s : 在 真 实 世 界 的 X X E 漏 洞 里 ， 所 提 交 的 X M L 里 往 往 有 一 大 堆 参 数 值 ， 任 何 一 个 都 有 可 能 在 响 应 里 返 回 。 如 果 要 系 统 地 测 试 X X E 漏 洞 ， 你 得 广 泛 测 试 在 单 个 X M L 里 的 每 一 个 数 据 节 点 。 2 进 行 S S R F 攻 击 >   译 者 注 ： 介 绍 的 废 话 就 不 翻 译 了 ， 翻 一 下 需 要 注 意 的 重 点 内 容 。 如 果 你 可 以 在 能 被 响 应 返 回 参 数 值 里 使 用 定 义 过 的 实 体 ， 那 么 你 就 可 以 在 应 用 的 响 应 里 ， 查 看 你 所 请 求 的 U R L 的 返 回 内 容 。 如 果 不 可 以 ， 那 么 你 只 能 进 行 S S R F 盲 打 。 在 下 面 的 X X E 例 子 中 ， 外 部 实 体 将 会 导 致 服 务 器 生 成 一 个 发 送 到 内 部 系 统 的 后 端 H T T P 请 求 ： 3 X X E 盲 打 >   译 者 注 ： 这 一 块 原 文 给 出 了 一 个 引 用 链 接 ， 属 于 X X E 利 用 的 进 阶 技 术 ， 我 后 面 也 会 单 独 翻 译 介 绍 。 此 部 分 见 后 续 翻 译 。 x m l - d t d < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   f o o   [   < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " >   ] > < s t o c k C h e c k >     < p r o d u c t I d > & x x e ; < / p r o d u c t I d > < / s t o c k C h e c k > I n v a l i d   p r o d u c t   I D :   r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h d a e m o n : x : 1 : 1 : d a e m o n : / u s r / s b i n : / u s r / s b i n / n o l o g i n b i n : x : 2 : 2 : b i n : / b i n : / u s r / s b i n / n o l o g i n . . . x m l - d t d < ! D O C T Y P E   f o o   [   < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / i n t e r n a l . v u l n e r a b l e - w e b s i t e . c o m / " >   ] >
- - 寻 找 隐 藏 的 X X E 注 入 攻 击 面 1 X I n c l u d e   攻 击   有 些 应 用 接 收 客 户 端 提 交 的 数 据 ， 在 服 务 端 将 其 嵌 入 到 X M L 文 档 中 ， 然 后 解 析 该 文 档 。 举 个 栗 子 ， 当 客 户 端 提 交 的 数 据 被 放 置 到 一 个 后 端 S O A P 请 求 的 时 候 ， 其 会 被 后 端 的 S O A P 服 务 所 处 理 。 这 种 情 况 下 呢 ， 你 就 没 办 法 进 行 常 规 的 X X E 攻 击 ， 因 为 你 没 有 控 制 整 个 X M L 文 档 ， 并 且 也 不 能 定 义 或 者 修 改 某 个   ` D O C T Y P E `   元 素 。 但 是 捏 ， 你 或 许 可 以 使 用   ` X I n c l u d e `   来 替 代 。 X I n c l u d e 是 X M L 规 范 的 一 部 分 ， 它 允 许 从 子 文 档 中 来 构 建 一 个 X M L 文 档 。 你 可 以 将 X I n c l u d e 攻 击 应 用 到 任 何 一 个 X M L 文 档 中 的 参 数 值 ， 所 以 在 你 没 办 法 控 制 单 条 被 置 于 服 务 端 X M L 文 档 中 的 数 据 时 ， 可 以 采 用 该 手 段 。 要 进 行 一 次 X I n c l u d e 攻 击 ， 你 需 要 附 加 一 个 X I n c l u d e 命 名 空 间 ， 并 且 提 供 你 想 包 含 的 文 件 的 路 径 ， 比 如 ： 2 通 过 文 件 上 传 进 行 的 X X E 攻 击 有 些 应 用 允 许 用 户 上 传 文 件 ， 然 后 其 文 件 被 服 务 端 所 处 理 。 有 些 常 见 的 文 件 格 式 使 用 X M L ， 或 者 包 含 X M L 的 子 元 素 。 基 于 X M L 的 格 式 有 办 公 文 档 ， 比 如 说   D O C X ， 还 有 图 片 格 式 的 ， 比 如 说 S V G 。 举 个 栗 子 ， 一 个 应 用 允 许 用 户 上 传 图 片 ， 并 且 上 传 后 将 这 些 在 服 务 器 上 处 理 并 验 证 。 即 使 这 应 用 打 算 接 收 像 P N G 或 者 J P E G 这 种 格 式 ， 其 所 使 用 的 图 像 处 理 库 可 能 也 支 持 S V G 图 像 。 因 为 S V G 格 式 使 用 X M L ， 那 么 攻 击 者 可 以 提 交 一 个 恶 意 S V G 图 像 ， 从 而 发 动 X X E 漏 洞 的 隐 藏 攻 击 面 。 3 通 过 修 改 内 容 类 型 的 X X E 攻 击 大 多 数 P O S T 请 求 使 用 H T M L 表 单 生 成 的 默 认 内 容 类 型 ， 比 如 说 ` a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d `   。 有 些 网 站 打 算 是 接 收 某 种 格 式 的 请 求 ， 但 是 也 能 允 许 其 他 内 容 类 型 ， 包 括 X M L 。 举 个 例 子 ， 如 果 一 个 普 通 的 请 求 包 含 下 面 这 些 ： x m l - d t d < f o o   x m l n s : x i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X I n c l u d e " > < x i : i n c l u d e   p a r s e = " t e x t "   h r e f = " f i l e : / / / e t c / p a s s w d " / > < / f o o > h t t p P O S T   / a c t i o n   H T T P / 1 . 0 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   7 f o o = b a r
然 后 你 提 交 如 下 的 请 求 ， 或 许 也 能 得 到 相 同 的 结 果 如 果 这 应 用 允 许 请 求 将 X M L 包 含 在 消 息 体 中 ， 然 后 将 消 息 体 内 容 解 析 为 X M L ， 那 么 你 直 接 通 过 修 改 请 求 来 使 用 X M L 格 式 ， 就 发 动 了 X X E 的 隐 藏 攻 击 面 。 - - 怎 么 寻 找 和 测 试 X X E 漏 洞 绝 大 多 数 X X E 漏 洞 可 以 通 过 B u r p S u i t e 的 w e b   v u l n e r a b i l i t y   s c a n n e r 来 快 速 和 可 靠 地 发 现 。 手 动 测 试 X X E 漏 洞 通 常 包 括 ： （ 见 上 文 ） - - 如 何 防 范 X X E 漏 洞 实 际 上 ， 所 有 的 X X E 漏 洞 的 产 生 是 因 为 应 用 的 X M L 解 析 库 支 持 了 具 有 潜 在 危 险 的 X M L 特 性 ， 而 且 这 些 特 性 本 来 应 用 不 需 要 或 者 没 打 算 用 。 最 简 单 和 最 有 效 防 范 X X E 攻 击 的 方 法 是 禁 用 这 些 特 性 。 总 的 来 说 ， 禁 用 外 部 实 体 的 解 析 还 有 对 X I n c l u d e 的 支 持 就 足 够 了 。 这 一 般 通 过 配 置 选 项 来 完 成 ， 或 者 在 编 程 的 时 候 覆 写 默 认 行 为 。 查 询 你 所 使 用 的 的 X M L 解 析 库 或 者 A P I 的 手 册 ， 来 了 解 关 于 怎 么 禁 用 不 必 要 功 能 的 细 节 吧 ！ 写 在 后 面 更 多 C T F - W r i e t u p   请 关 注 E D I 安 全 ！ E D I 安 全 的 C T F 战 队 经 常 参 与 各 大 C T F 比 赛 ， 了 解 C T F 赛 事 ， 我 们 在 为 打 造 安 全 圈 好 的 技 术 氛 围 而 努 力 ， 这 里 绝 对 是 你 学 习 技 术 的 好 地 方 。 这 里 门 槛 不 是 很 高 ， 但 师 傅 们 经 验 丰 富 ， 可 以 带 着 你 一 起 从 基 础 开 始 ， 只 要 你 有 持 之 以 恒 努 力 的 决 心 ， 下 一 个 C T F 大 牛 就 是 你 。 欢 迎 各 位 大 佬 小 白 入 驻 ， 大 家 一 起 打 C T F ， 一 起 进 步 。                                           h t t p P O S T   / a c t i o n   H T T P / 1 . 0 C o n t e n t - T y p e :   t e x t / x m l C o n t e n t - L e n g t h :   5 2 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < f o o > b a r < / f o o >
说 明 ： 说 明 ： 本 公 众 号 为 E D I 安 全 团 队 所 有 ， 不 隶 属 于 任 何 商 业 机 构 ， 部 分 信 息 为 网 络 收 集 ， 版 权 归 原 作 者 所 有 ， 文 中 观 点 仅 供 分 享 交 流 ， 不 代 表 本 公 众 号 立 场 。 如 涉 及 版 权 等 问 题 ， 请 您 联 系 我 们 后 台 告 知 ， 以 便 及 时 处 理 ， 谢 谢 ！ 扫 码 关 注 了 解 更 多
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理