XXE漏洞 - 技术栈

声明：本文中所有操作均在合法合规的靶场环境、虚拟环境中进行。

任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

一、XXE 基础概念

1. 漏洞全称

XXE：XML External Entity（XML 外部实体注入漏洞）

原理：XML 规范支持外部实体引用，若后端 XML 解析器未禁用外部实体解析，攻击者可构造恶意 XML，使服务端读取本地文件、发起内网请求，形成高危注入漏洞。

2.XML 设计初衷

XML 用于传输、存储结构化数据 ，核心聚焦数据内容描述，DTD 实体语法是 XML 扩展功能，本意是复用数据片段，外部实体可引用本地文件 / 远程 URL，漏洞源于未做安全限制。

二、基础 Payload 解析

复制代码

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE ANY [
<!ENTITY file SYSTEM "php://filter/read=convert.base64-encode/resource=xxe.php" >
]>
<root>
<name>&file;</name>
<password>123123</password>
</root>

字段拆解

<?xml version="1.0" encoding="UTF-8"?>：XML 头部声明，定义版本与字符编码；
<!DOCTYPE ANY [...]>：DTD 文档类型定义，用于自定义实体；
<!ENTITY file SYSTEM "协议路径">：自定义外部实体file，SYSTEM关键字代表加载外部资源；
&file;：实体调用，解析 XML 时会替换为外部资源内容；
php://filter/read=convert.base64-encode：PHP 专属伪协议，base64 编码回显文件，规避特殊字符乱码，防止读取内容被页面过滤。

三、修改实体路径实现文件读取

1.Linux 系统（读取系统用户文件）

修改 resource 参数：file:///etc/passwd

/etc/passwd：Linux 系统用户清单文件，存放所有本地用户信息，是 XXE 经典读取目标。

2.Windows 系统（读取本地 hosts）

路径：C:/Windows/System32/drivers/etc/hosts

hosts 文件：本地域名解析配置文件，可查看自定义域名绑定关系。

补充：常用协议

协议	作用
file://	读取服务器本地任意文件（XXE 最常用）
http://，https://	发起 SSRF 请求，扫描内网 IP、端口
php://filter	PHP 环境下读取源码并 base64 编码

四、XXE 漏洞核心利用方式（补充拓展）

读取任意文件

利用**file://**协议读取配置文件、网站源码、密钥、数据库账号配置。
SSRF 内网探测

将实体路径改为内网地址，例：http://127.0.0.1:6379，探测内网存活主机与开放端口，攻击内网未授权服务（Redis、Elasticsearch）。
DOS 拒绝服务

构造递归实体炸弹，无限嵌套实体，耗尽服务器 CPU / 内存资源，使服务宕机。

复制代码

<!DOCTYPE x [<!ENTITY a "&a;&a;&a;">]>
<x>&a;</x>

五、XXE 漏洞防御方案

禁用 DTD 文档定义（最优方案）

Java/PHP/Python 等解析 XML 时，关闭 DOCTYPE、外部实体解析功能；
- PHP：libxml_disable_entity_loader(true);
- Java：dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl",true);
白名单校验 XML 数据，过滤用户可控的 DOCTYPE、ENTITY 关键字；
升级 XML 解析组件，使用安全版本解析库。

关键补充知识点

有回显 XXE：payload 读取内容直接在页面返回（笔记示例就是有回显场景）；
无回显 XXE（盲 XXE）：页面不返回数据，通过 DNS/HTTP 外带数据，把文件内容带出到攻击者服务器。