搜索

[28932] 2021-05-13_XXE注入指南

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-05-13_XXE注入指南 X X E   注 入 指 南 O t s 安 全   2 0 2 1 - 0 5 - 1 3 X X E 简 介 简 介 X X E 是 对 应 用 程 序 执 行 的 一 种 攻 击 ， 以 解 析 其 X M L 输 入 。 在 此 攻 击 中 ， 包 含 对 外 部 实 体 的 引 用 的 X M L 输 入 由 配 置 较 弱 的 X M L 解 析 器 处 理 。 像 跨 站 点 脚 本 （ X S S ） 中 一 样 ， 我 们 尝 试 类 似 地 注 入 脚 本 ， 在 此 我 们 尝 试 插 入 X M L 实 体 以 获 得 重 要 信 息 。 它 用 于 声 明 X M L 文 档 的 结 构 ， 它 可 以 包 含 的 数 据 值 的 类 型 等 。 D T D 可 以 存 在 于 X M L 文 件 中 或 可 以 单 独 定 义 。 它 在 X M L 的 开 头 使 用 < ！ D O C T Y P E > 声 明 。 D T D 有 几 种 类 型 ， 而 我 们 感 兴 趣 的 是 外 部 D T D 。 外 部 D T D 有 两 种 类 型 ： S Y S T E M ： 系 统 标 识 符 使 我 们 能 够 指 定 包 含 D T D 声 明 的 外 部 文 件 位 置 在 该 X M L 外 部 实 体 中 ， 有 效 负 载 被 发 送 到 服 务 器 ， 服 务 器 将 数 据 发 送 到 X M L 解 析 器 ， 该 解 析 器 解 析 X M L 请 求 并 向 服 务 器 提 供 所 需 的 输 出 。 然 后 ， 服 务 器 将 该 输 出 返 回 给 攻 击 者 。 影 响 影 响 X M L 外 部 实 体 （ X X E ） 可 能 对 公 司 或 W e b 开 发 人 员 构 成 严 重 威 胁 。 X X E 一 直 在 O W A S P 的 前 十 名 中 。 这 是 很 常 见 的 ， 因 为 许 多 网 站 在 字 符 串 和 数 据 传 输 中 都 使 用 X M L ， 如 果 不 采 取 对 策 ， 则 会 破 坏 此 信 息 。 可 能 的 各 种 攻 击 是 ： 服 务 器 端 请 求 伪 造 D o S 攻 击 远 程 执 行 代 码 跨 站 脚 本 X X E 的 的 C V S S 分 数 为 分 数 为 7 . 5 ， 严 重 程 度 为 ， 严 重 程 度 为 “ 中 中 ” ， 其 中 ， 其 中 – C W E - 6 1 1 ： 对 X M L 外 部 实 体 的 不 当 限 制 。 C V E - 2 0 1 9 - 1 2 1 5 3 ： 本 地 文 件 S S R F C V E - 2 0 1 9 - 1 2 1 5 4 ： 远 程 文 件 S S R F C V E - 2 0 1 8 - 1 0 0 0 8 3 8 ： 十 亿 笑 声 攻 击 C V E - 2 0 1 9 - 0 3 4 0 ： 通 过 文 件 上 传 X X E 进 行 进 行 X X E 攻 击 以 执 行 攻 击 以 执 行 S S R F ： ： 服 务 器 端 请 求 伪 造 （ S S R F ） 是 一 个 网 络 漏 洞 ， 黑 客 可 以 在 其 中 注 入 服 务 器 端 H T M L 代 码 来 控 制 该 站 点 或 将 输 出 重 定 向 到 攻 击 者 的 服 务 器 。 S S R F 攻 击 的 文 件 类 型 为 – 本 地 文 件 ： 本 地 文 件 ： 这 些 是 网 站 域 上 存 在 的 文 件 ， 例 如 r o b o t s . t x t ， s e r v e r - i n f o 等 。 因 此 ， 让 我 们 使 用 “   b W A P P ” 以 设 置 为 l o w 的 级 别 执 行 X X E 攻 击 。 现 在 ， 我 们 将 启 动 B u r p S u i t e ， 并 在 按 下 “ 任 何 错 误 ” 后 进 行 拦 截 ？ 按 钮 ， 我 们 将 在 b u r p 上 获 得 以 下 输 出 ：
我 们 可 以 看 到 没 有 应 用 过 滤 器 ， 因 此 可 以 使 用 X X E ， 因 此 我 们 将 其 发 送 到 转 发 器 ， 然 后 执 行 攻 击 。 我 们 将 尝 试 知 道 哪 个 字 段 是 易 受 攻 击 或 可 注 入 的 ， 因 为 我 们 可 以 看 到 有 两 个 0 字 段 ， 即 l o g i n 和 s e c r e t 。 因 此 ， 我 们 将 对 其 进 行 如 下 测 试 ： 在 “ 转 发 器 ” 选 项 卡 中 ， 我 们 将 发 送 默 认 请 求 ， 并 在 “ 响 应 ” 选 项 卡 中 观 察 输 出 。
它 说 “ b e e ’ s   s e c r e t   h a s   b e e n   r e s e t ” ， 因 此 登 录 名 似 乎 可 以 注 入 ， 但 让 我 们 通 过 从 蜜 蜂 更 改 登 录 名 然 后 发 送 请 求 来 进 行 验 证 。 现 在 ， 我 们 将 再 次 在 “ 响 应 ” 选 项 卡 中 观 察 其 输 出 ： 我 们 得 到 了 “ i g n i t e ’ s   s e c r e t   h a s   b e e n   r e s e t ”     的 输 出 ， 因 此 可 以 清 楚 地 表 明 登 录 名 是 可 注 入 的 。 现 在 我 们 将 执 行 攻 击 。 现 在 ， 我 们 知 道 哪 个 字 段 是 可 注 入 的 ， 让 我 们 尝 试 获 取 r o b o t s . t x t 文 件 。 为 此 ， 我 们 将 使 用 以 下 有 效 负 载 – 了 解 有 效 载 荷 了 解 有 效 载 荷 我 们 已 经 声 明 了 一 个 名 为 “   r e s e t ” 的 文 档 类 型 ， 然 后 在 其 中 声 明 了 一 个 名 为 “   i g n i t e ” 的 实 体 。 我 们 正 在 使 用 S Y S T E M 标 识 符 ， 然 后 将 U R L 输 入 到 r o b o t s . t x t 。 然 后 在 登 录 时 ， 我 们 输 入 “   ＆ i g n i t e ; ”   获 得 所 需 的 信 息 。 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   r e s e t   [ < ! E N T I T Y   i g n i t e   S Y S T E M   " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 5 / b W A P P / r o b o t s . t x t " > ] > < r e s e t > < l o g i n > & i g n i t e ; < / l o g i n > < s e c r e t > A n y   b u g s ? < / s e c r e t > < / r e s e t >
插 入 上 面 的 代 码 后 ， 我 们 将 单 击 s e n d 并 在 r e s p o n s e 选 项 卡 中 获 得 如 下 所 示 的 输 出 ： 在 上 面 的 输 出 中 ， 我 们 可 以 看 到 r o b o t s . t x t 中 存 在 的 所 有 详 细 信 息 。 这 告 诉 我 们 使 用 X X E 可 以 对 本 地 文 件 进 行 S S R F 。 因 此 ， 现 在 让 我 们 尝 试 了 解 它 们 的 工 作 原 理 。 首 先 ， 我 们 将 注 入 有 效 负 载 ， 并 将 其 传 递 给 服 务 器 ， 并 且 由 于 不 存 在 避 免 X X E 的 过 滤 器 ， 服 务 器 将 请 求 发 送 到 X M L 解 析 器 ， 然 后 发 送 已 解 析 的 X M L 文 件 的 输 出 。 在 这 种 情 况 下 ， r o b o t s . t x t 是 使 用 X M L 查 询 泄 露 给 攻 击 者 的 。 远 程 文 件 ： 远 程 文 件 ： 这 些 文 件 是 攻 击 者 注 入 远 程 托 管 的 恶 意 脚 本 以 获 取 管 理 员 访 问 权 限 或 重 要 信 息 的 文 件 。 我 们 将 尝 试 获 取 /   e t c   /   p a s s w d ， 因 为 我 们 将 输 入 以 下 命 令 。
按 下 发 送 按 钮 后 ， 输 入 上 述 命 令 后 ， 我 们 将 在 p a s s w d 文 件 中 反 映 出 该 信 息 ！ X X E 十 亿 攻 击 十 亿 攻 击 - D O S 这 些 针 对 的 是 X M L 解 析 器 ， 其 中 格 式 正 确 且 有 效 的 X M L 数 据 在 解 析 时 都 会 破 坏 系 统 资 源 。 此 攻 击 也 称 为 X M L 炸 弹 或 X M L   D o S 或 指 数 实 体 扩 展 攻 击 。 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   r e s e t   [ < ! E N T I T Y   i g n i t e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ] > < r e s e t > < l o g i n > & i g n i t e ; < / l o g i n > < s e c r e t > A n y   b u g s ? < / s e c r e t > < / r e s e t >
在 进 行 攻 击 之 前 ， 让 我 们 知 道 为 什 么 它 被 称 为 十 亿 攻 击 ？ 在 进 行 攻 击 之 前 ， 让 我 们 知 道 为 什 么 它 被 称 为 十 亿 攻 击 ？ “ 第 一 次 进 行 此 攻 击 时 ， 攻 击 者 使 用 l o l 作 为 实 体 数 据 ， 并 在 随 后 的 几 个 实 体 中 多 次 调 用 它 。 执 行 过 程 花 费 了 成 倍 的 时 间 ， 其 结 果 是 成 功 的 D o S 攻 击 使 网 站 瘫 痪 。 由 于 使 用 了 l o l 并 多 次 调 用 ， 导 致 数 十 亿 次 请 求 ， 因 此 我 们 将 名 称 命 名 为 B i l l i o n   L a u g h   A t t a c k ” 在 使 用 有 效 负 载 之 前 ， 请 先 了 解 一 下 ： 在 这 种 情 况 下 ， 我 们 看 到 在 1 处 我 们 声 明 了 一 个 名 为 “   i g n i t e ” 的 实 体 ， 然 后 在 其 他 几 个 实 体 中 调 用 i g n i t e ， 从 而 形 成 了 一 连 串 的 回 调 ， 这 将 使 服 务 器 超 载 。 在 2 ， 我 们 将 实 体 称 为 ＆ i g n i t e 9 ; 。 我 们 将 i g n i t e 9 而 不 是 i g n i t e 称 为 i g n i t e 9 ， 因 为 i g n i t e 9 多 次 调 用 i g n i t e 8 ， 并 且 每 次 将 i g n i t e 8 称 为 i g n i t e 7 被 启 动 ， 依 此 类 推 。 因 此 ， 该 请 求 将 花 费 大 量 时 间 来 执 行 ， 结 果 该 网 站 将 关 闭 。 上 面 的 命 令 导 致 D o S 攻 击 ， 我 们 得 到 的 输 出 是 ：
现 在 ， 在 输 入 X M L 命 令 之 后 ， 我 们 将 在 响 应 字 段 中 看 不 到 任 何 输 出 ， 并 且 无 法 访 问 蜂 箱 ， 并 且 蜂 箱 将 关 闭 。 X X E 使 用 文 件 上 传 使 用 文 件 上 传 X X E 可 以 使 用 文 件 上 传 方 法 执 行 。 我 们 将 在 P o r t   S w i g g e r 实 验 室 “ 通 过 图 像 上 传 利 用 X X E ” 中 进 行 演 示 。 我 们 将 使 用 的 有 效 负 载 是 ： < ? X M L   v e r s i o n = " 1 . 0 "   s t a n d a l o n e = " y e s " ? > < ! D O C T Y P E   r e s e t   [ < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / h o s t n a m e " >   ]   > < s v g   w i d t h = " 5 0 0 p x "   h e i g h t = " 5 0 0 p x "   x m l n s = " h t t p : / / w w w . w 3 . o r g / 2 0 0 0 / s v g "   x m l n s : x l i n k = " h t t p : / / w w w . w 3 . o r g / 1 9 9 9 / x l i n k "   v e r s i o n = " 1 . 1 " > < t e x t   f o n t - s i z e = " 4 0 "   x = " 0 "   y = " 1 0 0 " > & x x e ; < / t e x t >
了 解 有 效 负 载 ： 我 们 将 制 作 S V G 文 件 ， 因 为 上 传 区 域 仅 接 受 图 像 文 件 。 上 面 给 出 了 S V G 文 件 的 基 本 语 法 ， 其 中 ， 我 们 添 加 了 一 个 文 本 字 段 ， 我 们 将 上 面 的 代 码 保 存 为 “   p a y l o a d . s v g ” 。 现 在 在 p o r t s w i g g e r 上 ， 我 们 将 继 续 发 布 并 发 表 评 论 ， 然 后 将 制 作 的 有 效 负 载 添 加 到 “ 头 像 ” 字 段 中 。 现 在 ， 我 们 将 通 过 按 “ 发 表 评 论 ” 按 钮 来 发 表 评 论 。 之 后 ， 我 们 将 访 问 发 表 评 论 的 帖 子 ， 并 在 评 论 部 分 看 到 我 们 的 评 论 。 让 我 们 检 查 其 页 面 来 源 ， 以 找 到 我 们 发 布 的 评 论 。 您 会 发 现 与 我 在 下 面 得 到 的 内 容 有 些 相 似 我 们 将 单 击 上 面 的 链 接 ， 我 们 将 在 新 窗 口 中 显 示 标 志 ， 如 下 所 示 ： < t e x t   f o n t - s i z e = " 4 0 "   x = " 0 "   y = " 1 0 0 " > & x x e ; < / t e x t > < / s v g >
可 以 通 过 提 交 标 志 来 验 证 这 一 点 ， 我 们 将 获 得 成 功 消 息 。 了 解 整 个 概 念 ： 因 此 ， 当 我 们 将 有 效 负 载 上 传 到 头 像 字 段 并 填 充 所 有 其 他 字 段 时 ， 我 们 的 评 论 也 会 显 示 在 帖 子 中 。 检 查 源 文 件 后 ， 我 们 获 得 了 文 件 上 传 的 路 径 。 我 们 对 该 字 段 感 兴 趣 ， 因 为 我 们 的 X X E 有 效 负 载 位 于 该 S V G 文 件 中 ， 并 且 它 将 包 含 我 们 想 要 的 信 息 ， 在 这 种 情 况 下 ， 我 们 想 要 的 是 “   /   e t c   /   d o m a i n ” 。 单 击 该 链 接 后 ， 我 们 可 以 看 到 信 息 。 X X E 到 远 程 代 码 执 行 到 远 程 代 码 执 行 远 程 执 行 代 码 是 一 个 非 常 服 务 器 W e b 应 用 程 序 漏 洞 。 这 样 ， 攻 击 者 便 可 以 将 其 恶 意 代 码 注 入 服 务 器 ， 以 获 取 关 键 信 息 。 为 了 演 示 这 种 攻 击 ， 我 使 用 了 X X E   L A B 。 我 们 将 按 照 以 下 步 骤 下 载 该 实 验 并 在 我 们 的 L i n u x 机 器 上 运 行 它 ： 在 我 们 的 终 端 中 ， 我 们 将 得 到 一 些 类 似 的 输 出 ， 如 下 所 示 ： 现 在 ， 一 旦 准 备 好 可 以 使 用 ， 我 们 将 打 开 浏 览 器 并 输 入 ： h t t p   :   / / 1 9 2 . 1 6 8 . 3 3 . 1 0 / ， 我 们 将 看 到 该 站 点 如 下 所 示 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / j b a r o n e / x x e l a b . g i t c d   x x e l a b v a g r a n t   u p
我 们 将 输 入 详 细 信 息 ， 并 使 用 B u r p   S u i t e 拦 截 请 求 。 在 B u r p   S u i t e 中 ， 我 们 将 看 到 以 下 请 求 ： 我 们 将 把 这 个 请 求 发 送 给 转 发 器 ， 我 们 将 看 到 哪 个 字 段 是 易 受 攻 击 的 。 因 此 ， 首 先 ， 我 们 将 按 原 样 发 送 请 求 并 观 察 “ 响 应 ” 选 项 卡 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理