XXE—XML外部实体注入

最新推荐文章于 2024-05-31 14:45:00 发布
最新推荐文章于 2024-05-31 14:45:00 发布
阅读量907 收藏 2
点赞数
分类专栏： 漏洞 渗透测试 文章标签： 渗透测试 web安全 xml
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/song123sh/article/details/124245037
版权

XXE

0x01、XML

什么是XML？
XML 是可扩展标记语言（EXtensible Markup Language）
XML的特点

  • 是一种标记语言
  • 被设计来进行数据传输
  • 可以自定义标签
  • 具有层级结构
  • 具有自我描述性

XML数据格式组成

  • 声明

<?xml version="1.0" encoding="UTF-8"?>

  • 元素/节点

    • 根节点：有且只有一个根元素·
    • 子节点：可以嵌套，可以重复
    • 每个节点必须成对出现，空节点也必须成对出现

  • 属性

    • 每个元素/节点可以有多个属性

    • 属性以键值对的方式出现：名称=“值”。属性的值添加双引号，多个属性以空格分开。

  • 注释：<!-- 注释内容 -->

示例

image-20220416163509327

XML数据格式作用

  • 简化数据共享
  • 简化数据传输
  • 简化平台变更
  • 使数据更加有用

0x02、DTD基础知识

定义

DTD全称是The document type definition，即是文档类型定义，可定义合法的XML文档
它使用一系列合法的元素来定义文档的结构。DTD可以被成行的声明于XML DTD作用

作用

一个应用程序可以使用DTD来确认收到的XML数据是有效的

每个XML文件可以携带一个自身格式的描述。

不同组织的人可以使用一个通用DTD来交换数据。

分类

内部DTD、外部DTD和共有DTD

内部DTD
<?xml version="1.0"?>
<!DOCTYPE note[
	<!ELEMENT note (to,from,heading,body)>
	<!ELEMENT to        (#PCDATA)>
	<!ELEMENT from      (#PCDATA)>
	<!ELEMENT heading   (#PCDATA)>
	<!ELEMENT body      (#PCDATA)>
]>
<note>
	<to>George</to>
	<from>John</from>
	<heading>Reminder</heading>
	<body>Don't forget the meeting!</body>
</note>
外部DTD

image-20220416164611303

共有DTD

image-20220416164700074

DTD实体

实体的概念：实体是用于定义引用普通文本或特殊字符的快捷方式的变量。实体引用是对实体的引用。

实体可在内部或外部进行声明。

DTD实体分类：内部实体、外部实体、参数实体

内部实体

image-20220416164926655

外部实体

image-20220416165017178

参数实体
<!ENTITY % 实体名称 [SYSTEM] "URL">

DTD定义
<!ENTITY % TAG_NAME "姓名|EMAIL|电话|地址">
<!ELEMENT 个人信息(%TAG_NAME;|生日)>
<!ELEMENT 客户信息(%TAG_NAME;|公司名)>

对参数实体的说明
1、参数实体只能在DTD中定义，DTD中引用；
2、参数实体和通用实体一样，参数实体也可以外部引用；
3、实体的声明中不能引用其他参数实体；
4、非参数实体只能在DTD中定义，在xml文档中引用。

DTD元素

image-20220416165332337

0x03、XXE漏洞原理

XXE -“xml external entity injection”
“xml外部实体注入漏洞”

概括一下就是"“攻击者通过向服务器注入指定的xml实体内容，从而让服务器按照指定的配置进行执行，导致问题”
也就是说服务端接收和解析了来自用户端的xml数据，而又没有做严格的安全控制，从而导致xml外部实体注入。

0x04、XXE实操

以pikachu靶场为例实践XXE漏洞

现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的，从而也就直接避免了这个漏洞。
以PHP为例，在PHP里面解析xml用的是libxml，其在≥2.9.0的版本中，默认是禁止解析xml外部实体内容的。

pikachu靶机为了模拟漏洞，通过手动指定LIBXML_NOENT选项开启了xml外部实体解析

image-20220416174543908

image-20220416180423024

如何探测xxe漏洞？

抓包，如果是xml格式的body，则发送一个<元素>数据</元素>

能回显，就可能存在XXE漏洞

Shadow丶S
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
XXE漏洞-XML 外部实体注入
zeroc009的博客
02-11 2744
XXE漏洞-XML 外部实体注入xxe介绍xml基础知识新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 xxe介绍 Xml外部实体注入漏洞（XML External Entity Injection）简称XXE，XXE漏洞
XML外部实体注入(XXE)
web1的博客
09-08 480
关键利用点：外部实体 XML是什么？ XML 文档有自己的一个格式规范，这个格式规范是由一个叫做 DTD（document type definition） 的东西控制的义的 xxe 实体进行了引用 相关实验 1、利用外部实体来检索文件 1.1 访问产品页面，单击“检查库存”，然后在 Burp Suite 中拦截生成的 POST 请求。 1.2 在 XML 声明和stockCheck元素之间插入以下外部实体定义： <!DOCTYPE test [ <!ENTITY xxe SYSTEM "fil
网络安全-XXE（XML外部实体注入）原理、攻击及防御
关注网络安全、云原生安全
09-07 4509
目录 前言 简介 原理 攻击 防御 禁用外部实体 过滤用户提交的XML数据 前言 XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 博主之前用xml也没有使用过DTD，因为是可选的嘛，这里就简单说一下，学过的跳过。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外部引用。 内部声明DTD <!DOCTYPE 根元素 [元素声明]>引用外部DTD文档 <!DOCTYPE 根元素 SYSTE
漏洞总结——XXE（XML外部实体注入）
Spontaneous_0的博客
09-08 466
XXE漏洞全称为 XML External Entity Injection，即XML外部实体注入XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载， 导致用户可以控制外部的加载文件，造成XXE漏洞。
【XXE漏洞安全-全网最详细讲解】
最新发布
qq_44005305的博客
05-31 717
Entity）漏洞是一种安全漏洞，出现在使用XML解析器的应用程序中。它允许攻击者利用可信任的XML扩展功能来执行恶意操作，如读取本地文件、发起远程网络请求或执行任意命令。XXE漏洞的发生通常是由于应用程序在解析XML输入时未正确验证或限制实体引用。攻击者可以通过构造恶意的XML输入，将外部实体（externalentity）引用进来，然后利用这些实体来获取敏感信息或进行其他攻击。其中最常见的一种攻击是利用DTD（Document Type。
XXE与XXE漏洞学习
qq_45521281的博客
05-12 1763
文章目录XML介绍定义文档结构DTD文档类型定义实体类别介绍DTD 实体声明XML外部实体攻击怎么甄别一个XML实体攻击漏洞?xxe漏洞检测思路从PHP代码层面上xxe漏洞的危害危害1：读取任意文件有回显的情况无回显的情况危害2：命令执行（装有expect扩展）危害3：内网探测/SSRF危害4：拒绝服务攻击XXE漏洞修复与防御一道CTF题目案例分析 XML介绍 定义 XML是用于 标记电子文件 使其具有 结构性 的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XM
Web漏洞-XXE漏洞(详细)
Ays.Ie的博客
03-11 5507
该篇描述Web漏洞-XXE漏洞(详细）
WEB安全之XXE实体注入漏洞.pdf
12-12
然而，XML的这种灵活性也引入了安全风险，如XXE（XML External Entity Injection，XML外部实体注入漏洞）。 **0x01 XML基础知识** XML文档由XML声明、DTD（Document Type Definition）文档类型定义（可选）和文档...
[Timeline Sec] - CVE-2020-29436：Nexus3 XML外部实体注入复现1
08-03
这篇文章主要讨论了CVE-2020-29436，这是一个针对Nexus Repository Manager 3的安全漏洞，该漏洞是由于XML外部实体注入（XXE）引起的。Nexus Repository Manager 3是一款广泛使用的软件包仓库管理服务，它允许组织...
xxe-injection-payload-list：:bullseye:XML外部实体（XXE）注入有效负载列表
02-06
XML外部实体（XXE，XML External Entity Injection）是一种网络安全漏洞，它允许攻击者通过恶意构造的XML输入来访问和泄露服务器内部资源。XXE注入通常发生在应用解析不受信任的XML输入时，没有正确地限制XML解析器...
WebSphere XML外部实体(XXE)注入漏洞(CVE-2020-4643）
10-25
WebSphere 9.0.0-9.0.5.5及8.5.0.0-8.5.5.18：更新安全补丁PH27509 WebSphere 8.0.0.0-8.0.0.15：升级到8.0.0.15版本，然后更新安全补丁PH27509 WebSphere 7.0.0.0-7.0.0.45：升级到7.0.0.45版本，然后更新安全补丁...
测试XXE注入.docx
09-06
XXE 注入（XML 外部实体注入）是一种类型的注入攻击，它会影响解析 XML 文件的应用程序。攻击者可以通过构造恶意的 XML 文件，使用外部实体来引用文件系统中的文件或网络资源，从而导致读取任意文件、执行系统命令、...
XXE漏洞（下）
errorr0
04-10 1028
XXE注入攻击
XML外部实体注入总结(XXE靶机复现)
Aiwin的博客
05-15 5327
XML外部实体注入，Vuln-XXE靶机复现和无回显XXE的使用
网络安全课第五节 XXE 漏洞的检测与防御
fegus的博客
07-11 1508
上一讲我们介绍了 SSRF 漏洞，一种专门针对服务端的请求伪造攻击，常被用于攻击内网。在里面我介绍了 Burp Collaborator 用于专门测试无回显漏洞的功能，在本讲的 XXE 漏洞测试中，我们依然可以使用，不知道你是否还记得怎么使用？下面，我们就开始今天的课程，一场关于 XML 外部实体注入（XXE）漏洞的攻防之路。XXE（XML External Entity，XML 外部实体注入）正是当允许引用外部实体时，通过构造恶意内容，导致读取任意文件、执行系统命令、内网探测与攻击等危害的一类漏洞。PHP
XXE漏洞简介
不怕死的假老练
09-05 2490
一、概述 XXE(XML External Entity Injection)，即MXL外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站，发起dos攻击。 XXE漏洞触发的点出现在系统可以上传XML文件的位置，应用程序对XML输入进行解析时，没有对上传的XML文件内容进行过滤，没有禁止加载外部实体，导致攻击者可以构造一个恶意的XML文件进行上传。 二、基本概念 1.XML XML，即可扩展
XXE漏洞详解（全网最详细）
qq_61553520的博客
05-09 3981
XXE：全称为XML Enternal Entity Injection，中文名称：XML外部实体注入。
XXE漏洞
huangyongkang666的博客
03-29 2370
XXE漏洞 1.漏洞简介 ​ XXE 漏洞全称XML External Entity Injection，即 XML 外部实体注入漏洞，XXE 漏洞发生在应用程序解析 XML 输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。 xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意 xml文件。 2.XML简介 ​ XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一
XML外部实体注入漏洞原理
05-24
XML外部实体注入漏洞（XML External Entity Injection, 简称XXE）是一种常见的安全漏洞，攻击者可以利用这种漏洞来读取任意文件、执行系统命令等操作。 在XML文档中，可以通过定义实体来引用外部资源，例如文件、...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Shadow丶S

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值