瞧！XXE漏洞总结

最新推荐文章于 2024-09-03 23:56:12 发布

xor0ne_10_01

最新推荐文章于 2024-09-03 23:56:12 发布

阅读量265

点赞数

本文链接：https://blog.csdn.net/weixin_43901038/article/details/107705859

版权

web安全攻防与靶场练习专栏收录该内容

44 篇文章 82 订阅

订阅专栏

1、前景引入

1.1、XML简介

XML外部实体注入（XML External Entity）简称XXE漏洞。

那么XML是什么呢？
XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。

XML被设计为传输和存储数据，其焦点是数据的内容，目的是把数据从HTML分离，是独立于软件和硬件的信息传输工具。XML文档有自己的一个格式规范，这个格式规范是由一个叫做DTD（document type definition）的东西控制的。

1.2、DTD简介

档类型定义（DTD）可定义合法的XML文档构建模块。它使用一系列合法的元素来定义文档的结构。
DTD 可被成行地声明于 XML 文档中，也可作为一个外部引用。
DTD的具体简介参见：DTD菜鸟教程

DTD作用：

通过 DTD，您的每一个 XML 文件均可携带一个有关其自身格式的描述。
通过 DTD，独立的团体可一致地使用某个标准的 DTD 来交换数据。
而您的应用程序也可使用某个标准的 DTD 来验证从外部接收到的数据。
您还可以使用 DTD 来验证您自身的数据。

1.2.1、内部的 DOCTYPE 声明

假如 DTD 被包含在您的 XML 源文件中，它应当通过下面的语法包装在一个 DOCTYPE 声明中：

<!DOCTYPE root-element [element-declarations]>

带有DTD的XML文档实例：

<?xml version="1.0"?>

<!DOCTYPE note [	#定义此文档是note类型文档
<!ELEMENT note (to,from,heading,body)>	#note中含有4个元素
<!ELEMENT to (#PCDATA)>		#定义 to 元素为 "#PCDATA" 类型
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>
]>
<note>
<to>Tove</to>
<from>Jani</from>
<heading>Reminder</heading>
<body>Don't forget me this weekend</body>
</note>

1.2.2、外部文档声明

假如 DTD 位于 XML 源文件的外部，那么它应通过下面的语法被封装在一个 DOCTYPE 定义中：

<!DOCTYPE root-element SYSTEM "filename">

这个 XML 文档和上面的 XML 文档相同，但是拥有一个外部的 DTD:

<?xml version="1.0"?>
<!DOCTYPE note SYSTEM "note.dtd">
<note>
  <to>Tove</to>
  <from>Jani</from>
  <heading>Reminder</heading>
  <body>Don't forget me this weekend!</body>
</note>

外部DTD（包含 DTD 的 “note.dtd” 文件：）

<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>

1.2.3、DTD实体

实体是用于定义引用普通文本或特殊字符的快捷方式的变量。

实体引用是对实体的引用。
实体可在内部或外部进行声明。

内部实体

语法

<!ENTITY entity-name "entity-value">

例子：

DTD 实例:

<!ENTITY writer "Donald Duck.">
<!ENTITY copyright "Copyright runoob.com">

XML 实例：

<author>&writer;&copyright;</author>

注意：一个实体由三部分构成: 一个和号 (&), 一个实体名称, 以及一个分号 (😉。

外部实体

语法

<!ENTITY entity-name SYSTEM "URI/URL">

实例

DTD 实例:

<!ENTITY writer SYSTEM "http://www.runoob.com/entities.dtd">
<!ENTITY copyright SYSTEM "http://www.runoob.com/entities.dtd">
<!ENTITY xxe SYSTEM "file:///c:/test.dtd">

XML example:

<author>&writer;&copyright;</author>
<user>&xxe;</user>

XML文档包含system标识符定义的“实体”，这些文档会在DOCTYPE头部标签中呈现。这些定义的’实体’能够访问本地或者远程的内容。**假如 SYSTEM 后面的内容可以被用户控制，**那么用户就可以随意替换为其他内容，从而读取服务器本地文件（file:///etc/passwd)或者远程文件（http://www.baidu.com/abc.txt）。

外部引用可支持http，file等协议，不同的语言支持的协议不同，但存在一些通用的协议，具体内容如下所示：
在这里插入图片描述

2、XML注入

以下来自于文章：https://blog.csdn.net/m0_38103658/article/details/102918712?utm_medium=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-1.channel_param&depth_1-utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-1.channel_param

在这里插入图片描述
从上图可以看出来，所谓的XML注入就是在XML中用户输入的地方，根据输入位置上下文的标签情况，插入自己的XML代码。虽然由于普通的XML注入利用面窄，现实中几乎用不到，但是我们可以想到，既然可以插入XML代码我们为什么不能插入XML外部实体呢，如果能注入成功并且成功解析的话，就会大大扩宽我的XML注入的攻击面了。于是就出现了XXE

3、XXE危害

以下大部分来自于文章：
https://blog.csdn.net/dl71181/article/details/101281475?utm_medium=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-2.channel_param&depth_1-utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-2.channel_param