渗透测试之XEE[外部实体注入]漏洞原理攻击手法 xml语言结构防御手法

以PHP为例,在PHP里面解析xml用的是libxml,其在≥2.9.0的版本中
- 默认是禁止解析xml外部实体内容的
- 如果你测试用的php中解析xml用的libxml的版本大于了2.9.1
- 为了模拟漏洞,那么可以通过手动指定LIBXML_NOENT选项开启xml外部实体解析功能。
修改 libxml 版本 PHP版本

XML语言结构

文档结构包含以下三个部分：

Json xml 数据 xml攻击数据格式

外部实体注入攻击

Xml外部实体攻击

复制代码

内部声明DTD
<!DOCTYPE 根元素 [元素声明]>
引用外部DTD文档
<!DOCTYPE 根元素 SYSTEM "文件名">
<!DOCTYPE 根元素 PUBLIC "public_ID" "文件名">

内部声明实体
<!ENTITY 实体名称 "实体的值">
引用外部实体
<!ENTITY 实体名称 SYSTEM "URI">
<!ENTITY 实体名称 PUBLIC "public_ID" "URI">

调用方式:&实体名称;

DTD 也就是攻击代码

我们在做渗透测试做一个读取文件证明存在这个漏洞就行了

payload如下:
- 而且你需要掌握的代码就这几行，大家最好能够背下来
--------------------------------------------------------------------------------------------
- 声明部分
  
  DTD攻击载荷部分
  
  xml部分

复制代码

  <?xml version = "1.0"?>
  <!DOCTYPE note [
      <!ENTITY hacker "lady_killer9">
  ]>
  <name>&hacker;</name>

如何寻找xxe漏洞

抓包查看accept的头是否接收xml

抓包修改数据类型把json改成xml来传输数据

XEE漏洞修复域防御

提高版本

代码修复

php

复制代码

libxml_disable_entity_loader(true);

java

复制代码

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);
setFeature("http://apache.org/xml/features/disallow-doctype-decl",true);
setFeature("http://xml.org/sax/features/external-general-entities",false)
setFeature("http://xml.org/sax/features/external-parameter-entities",false);

python

复制代码

from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

手动黑名单过滤(不推荐)

复制代码

过滤关键词： <!DOCTYPE 、 <!ENTITY SYSTEM 、 PUBLIC

渗透测试之XEE[外部实体注入]漏洞 原理 攻击手法 xml语言结构 防御手法

原理

XML语言解释

什么是xml语言：

以PHP举例xml外部实体注入

XML语言结构

如何寻找xxe漏洞

XEE漏洞修复域防御

提高版本

代码修复

php

java

python

手动黑名单过滤(不推荐)

渗透测试之XEE[外部实体注入]漏洞原理攻击手法 xml语言结构防御手法