搜索

[299] 2019-06-15_XML注入

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2019-06-15_XML注入 X M L 注 入 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 6 - 1 5 0 x 0 0 ： 简 介 ： 简 介 首 先 先 简 单 的 说 一 下   x m l ， 看 一 下 它 的 全 名 称 ， 叫   X t e n s i b l e   M a r k u p   L a n g u a g e ， 即 可 扩 展 的 标 记 语 言 ， 可 直 接 理 解 为 内 容 可 自 定 义 扩 展 ， 标 签 可 自 定 义 扩 展 。 其 实 就 是 一 个 文 本 格 式 的 文 件 ， 以   x m l   结 尾 ， 里 面 的 标 签 内 容 可 以 自 定 义 。 它 具 有 很 清 晰 的 层 次 结 构 ， 便 于 阅 读 ， 经 常 被 用 来 做 配 置 文 件 和 存 储 数 据 。 w e b   中 用   x m l   格 式 来 传 输 数 据 和 处 理 的 功 能 也 有 很 多 。 而 后 端 没 有 对   x m l   传 来 的 数 据 做 严 格 的 检 查 时 即 会 造 成   x m l   注 入 。 以 下 是 一 个 基 本 的   x m l   格 式 ： 第 一 行 是   x m l   文 件 的 声 明 ， 然 后 是   x m l   的 内 容 ， 例 子 中 的   b o o k s t o r e   书 店 是 根 元 素 ， 其 他 元 素 都 在   b o o k s t o r e   标 签 中 ， b o o k < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < b o o k s t o r e >         < b o o k >             < t i t l e > a a a < / t i t l e >               < p r i c e > 1 1 1 < / p r i c e >           < / b o o k >         < b o o k >             < t i t l e > b b b < / t i t l e >               < p r i c e > 2 2 2 < / p r i c e >           < / b o o k >         < b o o k >             < t i t l e > c c c < / t i t l e >               < p r i c e > 3 3 3 < / p r i c e >           < / b o o k > < / b o o k s t o r e >
标 签 有 两 个 子 元 素 ， 分 别 是 书 名   t i t l e ， 价 格   p r i c e ， 和   h t m l   的 结 构 很 像 。 0 x 0 1 ： 测 试 方 法 ： 测 试 方 法 例 如 一 个   w e b   应 用 ， 使 用 进 行 用 户 注 册 时 ， 会 以   x m l   来 存 储 数 据 到   x m l d b   数 据 库 中 ， 当 用 户 填 写 用 户 名 ， 密 码 和 邮 箱 时 ， 后 台 存 储 的 文 件 格 式 及 内 容 如 下 ： x m l   注 入 时 可 以 先 试 一 下   x m l   中 的 一 些 有 特 殊 作 用 的 字 符 ， 好 比 测 试   s q l   注 入 我 们 可 能 先 会 输 入 一 些 单 引 号 双 引 号 等 ， 测 试 x s s   时 可 能 先 输 入 尖 括 号 等 符 号 来 大 概 看 一 下 效 果 。 单 引 号 （ ‘ ） ： 如 果 被 注 入 的 标 签 是 属 性 值 的 一 部 分 ， 那 么 输 入 单 引 号 会 引 起   x m l   解 析 异 常 。 当 用 户 输 入 的 值 为   t e s t ' 时 ， 以 上 代 码 就 变 成 了 < n o d e   a t t r i b = " t e s t "   ' = " "   s t y l e = " b o x - s i z i n g :   b o r d e r - b o x ;   o u t l i n e :   0 p x ; " > ， 解 析 会 产 生 异 常 。 双 引 号 （ " ） ： 这 个 和 单 引 号 相 似 ， 只 不 过   x m l   节 点 属 性 值 用 的 双 引 号 ， 示 例 如 下 。 当 用 户 输 入 的 值 为   t e s t "   时 ， 以 上 代 码 就 变 成 了 < n o d e   a t t r i b = " t e s t "   " = " "   s t y l e = " b o x - s i z i n g :   b o r d e r - b o x ;   o u t l i n e :   0 p x ; " > ,   解 析 会 产 生 异 常 。 尖 括 号 （ < 、 > ） ： 当 用 户 输 入 的 内 容 包 含 了 开 放 或 者 闭 合 的 尖 括 号 时 ， x m l   也 会 解 析 异 常 ， 当   u s e r n a m e   为   t e s t   <   时 ， 节 点 示 例 如 下 。 注 释 标 签 （ ） ： 这 个 字 符 是 注 释 符 号 的 首 尾 符 ， 可 用 来 注 释 内 容 ， 当   u s e r n a m e   为   t e s t < ! - -   时 ， 节 点 示 例 如 下 ： 与 符 号 （ & ） :   这 个 符 号 在   x m l   中 表 示 实 体 的 意 思 ， 以 分 号 结 尾 ， 同 时 实 体 可 用 来 引 入 一 段 内 容 或 外 部 的 文 件 ， 例 如   &   t e s t ; < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < u s e r s >         < u s e r n a m e > l u r e n j i a < / u s e r n a m e >         < p a s s w o r d > l u r e n j i a < / p a s s w o r d >         < u s e r i d > 0 < / u s e r i d >         < m a i l > l u r e n j i a @ l u r e n j i a . c o m < / m a i l > < / u s e r s > < n o d e   a t t r i b = ' $ i n p u t V a l u e ' / > < n o d e   a t t r i b = " $ i n p u t V a l u e " / > < u s e r >         < u s e r n a m e > t e s t < < / u s e r n a m e ? < / u s e r > < u s e r >         < u s e r n a m e > t e s t < ! - - < / u s e r n a m e > < / u s e r >
这 种 格 式 ， 当   u s e r n a m e   输 入   &   t e s t   时 ， x m l   会 以 实 体 来 进 行 处 理 ， 因 为 没 有 分 号 结 尾 ， 所 以 会 解 析 异 常 ， 节 点 示 例 如 下 ： 区 段 分 隔 符   C D A T A （ < ! [ C D A T A [ / ] ] ） :   这 个 分 隔 符 的 意 义 在 于   x m l   解 析 器 不 会 去 解 析   C D A T A   区 段 包 含 的 字 符 ， 例 如 如 果 想 在 文 本 节 点 中 表 示 字 符 串 ， 则 可 以 使 用 下 面 的   C D A T A   区 段 。 那 么 就 会 被 看 为 是 字 符 数 据 ， 从 而 不 会 被 解 析 为 标 记 。 0 x 0 2 ： 外 部 实 体 ： 外 部 实 体 x m l   可 以 去 访 问 外 部 的   u r l   资 源 ， 内 部 的 系 统 文 件 等 ， 这 种 行 为 可 以 叫 做   x x e ， 即 外 部 实 体 攻 击 ， 类 似 于   x s s   利 用 时 引 入 的 外 部 恶 意 脚 本 。 外 部 实 体 即 外 部 文 件 。 例 如 以 下 示 例 。 D O C T Y P E   用 来 声 明   D T D   的 ， E N T I T Y   用 来 声 明 实 体 ， 内 部 声 明 实 体 格 式 是 : < ! E N T I T Y   实 体 名 称   " 实 体 值 " > 外 部 声 明 实 体 的 格 式 是 ： < ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I " > 所 以 上 述 示 例 代 码 中 声 明 了 一 个 外 部 实 体 ， 变 量 名 称 叫   x x e ， 值 引 入 的 是   p a s s w d   文 件 的 路 径 ， 最 后 在   r o o t   标 签 中 引 入 了 这 个 遍 历 。 0 x 0 3 ： ： b w a p p 这 里 我 们 直 接 拿   b w a p p   来 测 试 ， 找 到   x x e   的 测 试 项 ， 抓 包 如 下 。 < u s e r >         < u s e r n a m e > & t e s t < / u s e r n a m e > < u s e r > < n o d e >         < ! [ C D A T A [ < t e s t > ] ] < / n o d e > < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? >         < ! D O C T Y P E   r o o t [                 < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ] >                 < r o o t > & x x e ; < / r o o t >
可 以 看 到 它 会 发 送 一 段   x m l   数 据 给   x x e - 2   这 个 文 件 ， 我 们 进 行 测 试 ， 输 入   x m l   引 用 外 部 实 体 的 代 码 ， 如 下 图 。 上 图 绿 框 中 就 是 新 添 加 的 引 入 外 部 实 体 的 代 码 ， 然 后 我 们 通 过   r e s e t   节 点 就 行 了   t e s t   变 量 的 引 用 ， 服 务 器 会 读 取 这 个 文 件 的 内 容 并 进 行 返 回 。 当 服 务 器 没 有 任 何 返 回 时 ， 或 者 只 有 错 误 信 息 ， 可 能 会 存 在 盲 注 的 情 况 ， 这 时 我 们 可 以 借 助   b u r p   的   c o l l a b o r a t o r   来 进 行 测 试 ， 实 体 引 入 部 分 放 上   c o l l a b o r a t o r   生 成 的 连 接 地 址 ， 如 果 后 台 访 问 了 这 个 地 址 ， 那 么 我 们 这 边 便 可 以 及 时 捕 获 到 ， 说 明 服 务 器 是 存 在   x x e   的 ， 如 下 图 。 0 x 0 4 ： 代 码 分 析 ： 代 码 分 析 我 们 可 以 顺 便 看 一 下   b w a p p   给 我 们 的 示 例 代 码 加 深 印 象 ， x x e - 1 . p h p   文 件 很 简 单 ， 就 是 发 送   x m l   数 据 给   x x e - 2 . p h p ， 核 心 代 码 如 下 。
然 后 我 们 查 看   x x e - 2 . p h p   的 内 容 ， 先 看 第 一 部 分 的 内 容 。 首 先 程 序 利 用 了   f i l e _ g e t _ c o n t e n t s   获 取 了 我 们 传 来 的 内 容 ， 然 后 进 行 了 安 全 等 级 的 判 断 ， 如 果 不 是   1   或 者   2 ， 也 就 是 不 是 中 级 和 高 级 ， 那 么 会   i f   中 的 语 句 ， i f   中 语 句 通 过   s i m p l e x m l _ l o a d _ s t r i n g   把 我 们 传 来 的 内 容 进 行 了   x m l   解 析 ， 随 后 就 直 接 进 行 了 数 据 库 的 操 作 并 返 回 了 信 息 。 可 以 看 到 ， 在 这 个 过 程 中 我 们 传 来 的   x m l   内 容 并 未 做 任 何 的 限 制 和 过 滤 。 之 后 我 们 在 看 下   e l s e   部 分 的 处 理 方 式 ， 也 就 是 中 高 级 时 的 内 容 ， 代 码 如 下 。 < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >         f u n c t i o n   R e s e t S e c r e t ( )         {                 v a r   x m l H t t p ;                 / /   C o d e   f o r   I E 7 + ,   F i r e f o x ,   C h r o m e ,   O p e r a ,   S a f a r i                 i f ( w i n d o w . X M L H t t p R e q u e s t )                 {                         x m l H t t p   =   n e w   X M L H t t p R e q u e s t ( ) ;                 }                 / /   C o d e   f o r   I E 6 ,   I E 5                 e l s e                 {                         x m l H t t p   =   n e w   A c t i v e X O b j e c t ( " M i c r o s o f t . X M L H T T P " ) ;                 }                 x m l H t t p . o p e n ( " P O S T " , " x x e - 2 . p h p " , t r u e ) ;                 x m l H t t p . s e t R e q u e s t H e a d e r ( " C o n t e n t - t y p e " , " t e x t / x m l ;   c h a r s e t = U T F - 8 " ) ;                 x m l H t t p . s e n d ( " < r e s e t > < l o g i n > < ? p h p   i f ( i s s e t ( $ _ S E S S I O N [ " l o g i n " ] ) ) { e c h o   $ _ S E S S I O N [ " l o g i n " ] ; } ? > < / l o g i n > < s e c r e t > A n y   b u g s ? < / s e c r e t > < / r e s e t > "         } < / s c r i p t > $ m e s s a g e   =   " " ; $ b o d y   =   f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ; i f ( $ _ C O O K I E [ " s e c u r i t y _ l e v e l " ]   ! =   " 1 "   & &   $ _ C O O K I E [ " s e c u r i t y _ l e v e l " ]   ! =   " 2 " ) {         i n i _ s e t ( " d i s p l a y _ e r r o r s " , 1 ) ;         $ x m l   =   s i m p l e x m l _ l o a d _ s t r i n g ( $ b o d y ) ;         $ l o g i n   =   $ x m l - > l o g i n ;         $ s e c r e t   =   $ x m l - > s e c r e t ;         i f ( $ l o g i n   & &   $ l o g i n   ! =   " "   & &   $ s e c r e t ) {                                 $ s q l   =   " U P D A T E   u s e r s   S E T   s e c r e t   =   ' "   .   $ s e c r e t   .   " '   W H E R E   l o g i n   =   ' "   .   $ l o g i n   .   " ' " ;                 $ r e c o r d s e t   =   $ l i n k - > q u e r y ( $ s q l ) ;                 i f ( ! $ r e c o r d s e t ) {                         d i e ( " C o n n e c t   E r r o r :   "   .   $ l i n k - > e r r o r ) ;                 }                 $ m e s s a g e   =   $ l o g i n   .   " ' s   s e c r e t   h a s   b e e n   r e s e t ! " ;         } e l s e {         $ m e s s a g e   =   " A n   e r r o r   o c c u r e d ! " ; } }
中 高 级 多 了 一 步 处 理 ， 也 就 是 使 用 了   m y s q l i _ r e a l _ e s c a p e _ s t r i n g   函 数 进 行 了   x m l   内 容 的 过 滤 ， 这 个 函 数 会 过 滤 换 行 、 制 表 、 单 引 号 、 双 引 号 等 。 这 时 原 来 的   x m l   会 被 解 析 失 败 ， 关 键 符 号 被 过 滤 了 。 这 里 需 要 提 一 下 的 是 我 这 个   b w a p p   不 是 最 新 的 ， 最 新 版 本   b w a p p   不 知 都 有 没 有 更 新 ， 因 为   m y s q l i _ r e a l _ e s c a p e _ s t r i n g   在   p h p 5 . 5   中 已 经 被 弃 用 了 ， p h p 7 . 0   删 除 了 此 函 数 ， 所 以 如 果 在 开 发 中 ， 不 建 议 使 用 此 函 数 。 0 x 0 5 ： 防 御 ： 防 御 对 于   x x e   问 题 的 防 御   b w a p p   中 的 过 滤 特 殊 字 符 是 一 种 方 式 ， 另 外 同 时 也 建 议 设 置 其 禁 用 外 部 实 体 ， 基 本 每 个 开 发 语 言 都 有 禁 用 外 部 实 体 的 方 法 ， 例 如   p h p ： j a v a : p y t h o n : 同 时 也 建 议 过 滤 下   X M L   的 数 据 内 容 ， 过 滤 掉 类 似 于   < ! D O C T Y P E 、 < ! E N T I T Y 、 S Y S T E M 、 P U B L I C   等 关 键 字 。 0 x 0 6 ： 总 结 ： 总 结 对 于 使 用   x m l   内 容 传 输 的 功 能 也 很 常 见 ， 现 在   x x e   也 是 我 们   t o p 1 0   之 列 ， 危 害 和   s s r f   也 很 类 似 ， 可 用 来 做 内 网 探 测 、 文 件 读 取 等 ， 测 试 时 ， 我 们 可 以 先 加 入 一 些   x m l   中 特 殊 符 号 来 进 行 测 试 ， 看 返 回 是 否 有 异 常 ， 若 只 返 回 类 似 的 模 糊 错 误 信 息 ， 则 可 进 行 盲   x x e   的 测 试 。 防 御 时 ， 尽 量 做 到 多 种 方 法 结 合 使 用 ， 有 效 避 免   x x e   漏 洞 的 产 生 。         $ s e c r e t   =   m y s q l i _ r e a l _ e s c a p e _ s t r i n g ( $ l i n k ,   $ s e c r e t ) ;         $ s q l   =   " U P D A T E   u s e r s   S E T   s e c r e t   =   ' "   .   $ s e c r e t   .   " '   W H E R E   l o g i n   =   ' "   .   $ l o g i n   .   " ' " ;         $ r e c o r d s e t   =   $ l i n k - > q u e r y ( $ s q l ) ;         i f ( ! $ r e c o r d s e t )         {                 d i e ( " C o n n e c t   E r r o r :   "   .   $ l i n k - > e r r o r ) ;         }         $ m e s s a g e   =   $ l o g i n   .   " ' s   s e c r e t   h a s   b e e n   r e s e t ! " ; l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; D o c u m e n t B u i l d e r F a c t o r y   d b f   =   D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ; d b f . s e t E x p a n d E n t i t y R e f e r e n c e s ( f a l s e ) ; f r o m   l x m l   i m p o r t   e t r e e x m l D a t a   =   e t r e e . p a r s e ( x m l S o u r c e ,   e t r e e . X M L P a r s e r ( r e s o l v e _ e n t i t i e s = F a l s e ) )
欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理