XXE漏洞

? Persevere?

已于 2022-04-20 21:04:11 修改

阅读量2k

点赞数 1

分类专栏：漏洞文章标签： web安全

于 2022-04-20 12:09:03 首次发布

本文链接：https://blog.csdn.net/ad12456/article/details/124263068

版权

漏洞专栏收录该内容

20 篇文章 2 订阅

订阅专栏

XML基础

XML：eXtensible Markup Language （可扩展标记语言）。和HTML的差别，XML的标签自定义的。
用途 1. 配置文件 2. 交换数据

XML格式

<?xml version="1.0" encoding="UTF-8"?>
<TranInfo>     ##XML根元素
		<CbtrInf>   ##XML子元素
				<Id>12345</Id>
				<Name>张三</Name>
		</CbtrInf>
		<Dbtrinf>
				<Id>67890</Id>
				<Name>李四</Name>
		</Dbtrinf>
		<Amt>100</Amt>
</TranInfo>

格式的要求：

XML文档必须有根元素
XML文档必须有关闭标签
XML标签对大小写敏感
XML元素必须被正确的嵌套
XML属性必须加引号

XML格式校验 —— DTD（Document Type Definition）文档类型定义
DTD内容——元素(ELEMENT)

<!DOCTYPE TranInfo[
<!ELEMENT TranInfo(CdtrInf,DbtrInf,Amt)>
<!ELEMENT CbtrInf(Id,Name)>
<!ELEMENT DbtrInf(Id,Name)>
<!ELEMENT Amt>
]>

DTD内容——实体（ENTITY）相当于全局变量

<?xml version="1.0" encoding="UTF=8"?>
<!DOCTYPE name[
<!ELEMENT name ANY >
<!ENTITY cs “xingjiang”]>

实体使用,
内部实体，下面的代码使用，&cs输出的是 xingjiang

<people>
<name>ding</name>
<area>&cs;</area>
</people>

还有外部实体。

<?xml version="1.0" encoding="UTF=8"?>
<!DOCTYPE name[
<!ENTITY cs SYSTEM “file:///D:/xml/entity,dtd”>
]>

外部实体引用的协议：

协议	使用方法
file	file:///ddd/ttt
php	php://ddd/read=convert.base64-encode/resource=index.php
http	http//:fsdfa/edf.dtd

完整的XML内容

<!--第一部分 声明-->
<?xml version="1.0" encoding="UTF-8"?>

<!--第二部分 文档类型定义-->
<!DOCTYPE Human[
<!ELEMENT name ANY >
<!ENTITY area SYSTEM “file:///D:/xml/entity,dtd”>
<!--SYSTEM还可以用PUBLIC代替--> 
]>
<Human>     ##XML根元素
		<InFo>   ##XML子元素
				<Id>12345</Id>
				<Name>张三</Name>
				<Area>&area;</Area>
		</InFo>
</Human>

XXE

如果Web应用的脚本代码没有限制XML引入外部实体，从而导致用户可以插入一个外部实体，并且其中的内容会被服务器端执行，插入的代码可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。

靶场 XXE-lab

我们先看看它参数传输的格式，
在这里插入图片描述重消息头和请求中可以看到的，是XXE格式的。所以我们试一下，直接构造XML声明和DTD部分，引用外部实体去读取文件。用burpsuit的重放攻击。

定义DTD和外部实体

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE DD [
<!ENTITY dd SYSTEM "file:///C:\Users\17646\Desktop\ddd.txt">]>

读取到了文件。
在这里插入图片描述
还可以用DNSlog来测试
这样它可以访问这个网站，那自然可以访问其他网站，我们搭建一个网站，设置一个接口，来接收访问靶机的数据。

防御：

PHP:设置 libxml_disable_entity_loader(true);
java: 设置 DocumentBuilderFactory dbf=DocumentBuilderFactory.newInstance();dbf.setExpandEntityReferences(false);
python: 设置 from lxml import etree xmlData=etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))
过滤用户提交的XML数据敏感字符 ’ " ‘’(two apostrophe) “” < > ]]> ]]>> /–> --> <!-- <! <!
WAF