XXE(XML External Entity attack)XML外部实体注入攻击

最新推荐文章于 2024-05-19 22:38:58 发布

网安高启强

最新推荐文章于 2024-05-19 22:38:58 发布

阅读量269

点赞数

文章标签： xml php 开发语言

本文链接：https://blog.csdn.net/mkl7717/article/details/130780928

版权

本文详细介绍了XXE（XML External Entity attack）攻击，包括其原理、构造方式及其对系统的危害，如文件读取、拒绝服务攻击等。通过实例展示了如何构造有回显和无回显的XXE payload，并提到了PHP中的简单XML加载器可能存在的漏洞。此外，还讨论了如何利用XXE进行内网信息探测和攻击内网网站。最后，通过CTF题目的分析，加深了对XXE攻击的理解。

摘要由CSDN通过智能技术生成

示例：

    <?xml version = "1.0" encoding = "utf-8"?>
    <!DOCTYPE test [
    <!ENTITY file SYSTEM "file:///etc/passwd">
    <!ENTITY copyright SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">
    ]>
    <author>&file;©right;</author>

导语

　　XXE：XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击。由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。例如PHP中的simplexml_load 默认情况下会解析外部实体，有XXE漏洞的标志性函数为simplexml_load_string（）。

　　尽管XXE漏洞已经存在了很多年，但是它从来没有获得它应有的关注度。很多XML的解析器默认是含有XXE漏洞的，这意味着开发人员有责任确保这些程序不受此漏洞的影响。比如今年7月刚爆出的微信支付XXE漏洞案例。

　　libxml2.9.1及以后，默认不解析外部实体。可以在此了解libxml各版本具体改动情况。本次测试在Window下使用的php5.4.45(libxml Version 2.7.8)。Linux中需要将libxml低于libxml2.9.1的版本编译到PHP中，可以使用phpinfo()查看libxml的版本信息。当XML声明中standalone值是yes的时候表示DTD仅用于验证文档结构，外部实体将被禁用。但它的默认值是no，而且有些parser会直接忽略这一项。