XXE漏洞学习

原创于 2025-02-06 15:29:41 发布 · 1.2k 阅读

17 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #web安全 #XXE漏洞 #网络安全靶场

网络安全Web基础专栏收录该内容

28 篇文章

订阅专栏

一、漏洞介绍

1、XXE概念

XXE（XML External Entity，XML外部实体）漏洞，是一种因XML解析器不当处理外部实体而引发的安全漏洞。攻击者通过构造恶意XML数据，利用外部实体功能读取服务器本地文件、探测内网服务或发起拒绝服务攻击甚至实现远程代码执行等。

2、漏洞利用原理

（1）外部实体引用

XML允许定义外部实体，这些实体可以从外部资源（如本地文件、远程URL）加载数据。攻击者通过在XML中插入恶意外部实体，利用解析器的功能读取敏感信息。

（2）漏洞触发条件

XML解析器默认启用外部实体解析（如旧版PHP的libxml库、Java的SAXParser等）。
用户可控的XML输入未被过滤（如上传XML文件、提交XML格式的API请求）。
解析结果被直接返回或错误信息泄露敏感数据。

3、常见的漏洞利用场景

文件上传功能
用户上传XML格式的文件（如SVG图片、配置文件），解析时触发XXE。
API接口
REST/SOAP API接收XML格式的请求体，未校验外部实体。
单点登录（SSO）
SAML协议使用XML进行身份断言，若解析不当可能被利用。

XXE漏洞的本质是XML解析器过度信任用户输入。防御需从禁用外部实体、严格过滤输入、更新依赖库三方面入手。开发人员应始终对XML数据保持警惕，尤其是在处理用户可控内容时。

二、XML简单了解

XML学习参考链接：https://www.w3school.com.cn/xml/index.asp

1、XML简介

XML 指可扩展标记语言（EXtensible Markup Language）

XML 是一种标记语言，很类似 HTML

XML 的设计宗旨是传输数据，而非显示数据

XML 标签没有被预定义。需要自行定义标签。

XML 被设计为具有自我描述性。

XML 是 W3C 的推荐标准

XML 被设计为传输和存储数据，其焦点是数据的内容。

HTML 被设计用来显示数据，其焦点是数据的外观。

2、XML结构

<?xml version="1.0" encoding="ISO-8859-1"?>
<note>
<to>George</to>
<from>John</from>
<heading>Reminder</heading>
<body>Don't forget the meeting!</body>
</note>

第一行是 XML 声明。它定义 XML 的版本 (1.0) 和所使用的编码

下一行描述文档的根元素

接下来 4 行描述根的 4 个子元素（to, from, heading 以及 body）

最后一行定义根元素的结尾

3、XML外部实体

外部实体是一种特殊的实体，它指向外部资源（如文件、URL 等），允许在 XML 文档中引用外部的文本数据。外部实体的主要作用是实现数据的复用和模块化，使得 XML 文档可以引用外部的文件内容，避免在多个 XML 文档中重复相同的数据。

（1）读取系统文件

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE readFile [
    <!ENTITY ff SYSTEM "file:///etc/passwd">
]>

    <message>&ff;</message>

（2）执行系统命令

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE aa [
    <!ENTITY ff SYSTEM "expect://id">
]>

    <message>&ff;</message>

三、XXE漏洞练习示例

靶场地址：https://portswigger.net/web-security/xxe/lab-exploiting-xxe-to-retrieve-files

Lab: Exploiting XXE using external entities to retrieve files

利用XXE外部实体读取文件

（1）在商品页面Check stock，抓包

（2）发现数据包里有XML文件

（3）修改XML文件内容，访问/etc/passwd目录

<?xml version="1.0" encoding="UTF-8"?>
]>

&ff;3

（4）访问文件成功，实验解决