XXE - XEE - XML External Entity
XML Basies
XML is 'n merktaal wat ontwerp is vir data-opberging en -vervoer, met 'n buigsame struktuur wat die gebruik van beskrywend benoemde etikette moontlik maak. Dit verskil van HTML deur nie beperk te wees tot 'n stel voorgedefinieerde etikette nie. XML se betekenis het afgeneem met die opkoms van JSON, ten spyte van sy aanvanklike rol in AJAX-tegnologie.
Dataverteenwoordiging deur Entiteite: Entiteite in XML maak die verteenwoordiging van data moontlik, insluitend spesiale karakters soos
<
en>
, wat ooreenstem met<
en>
om konflik met XML se etiketsisteem te voorkom.Definisie van XML-elemente: XML maak die definisie van elementtipes moontlik, wat uiteensit hoe elemente gestruktureer moet word en watter inhoud hulle mag bevat, wat strek van enige tipe inhoud tot spesifieke kinderlemente.
Dokumenttipe-definisie (DTD): DTD's is noodsaaklik in XML vir die definisie van die dokument se struktuur en die tipes data wat dit kan bevat. Hulle kan intern, ekstern, of 'n kombinasie wees, wat rigting gee oor hoe dokumente geformateer en gevalideer word.
Aangepaste en Eksterne Entiteite: XML ondersteun die skepping van aangepaste entiteite binne 'n DTD vir buigsame dataverteenwoordiging. Eksterne entiteite, gedefinieer met 'n URL, veroorsaak sekuriteitskwessies, veral in die konteks van XML Eksterne Entiteit (XXE)-aanvalle, wat die manier waarop XML-parssers eksterne data-bronne hanteer, benut:
<!DOCTYPE foo [ <!ENTITY myentity "value" > ]>
XXE Opset met Parameter Entiteite: Vir die opsporing van XXE-gebreke, veral wanneer konvensionele metodes faal as gevolg van parser-sekuriteitsmaatreëls, kan XML-parameter-entiteite gebruik word. Hierdie entiteite maak out-of-band opsporingstegnieke moontlik, soos die teweegbring van DNS-opsoeke of HTTP-versoeke na 'n beheerde domein, om die kwesbaarheid te bevestig.
<!DOCTYPE foo [ <!ENTITY ext SYSTEM "file:///etc/passwd" > ]>
<!DOCTYPE foo [ <!ENTITY ext SYSTEM "http://attacker.com" > ]>
Hoofaanvalle
Nuwe Entiteitstoets
In hierdie aanval gaan ek toets of 'n eenvoudige nuwe ENTITEIT-verklaring werk.
Lees lêer
Laten ons probeer om /etc/passwd
op verskillende maniere te lees. Vir Windows kan jy probeer om te lees: C:\windows\system32\drivers\etc\hosts
In hierdie eerste geval, let daarop dat SYSTEM "**file:///**etc/passwd" ook sal werk.
Hierdie tweede geval behoort nuttig wees om 'n lêer te onttrek as die webbediener PHP gebruik (Nie die geval met Portswiggers-laboratoriums nie)
In hierdie derde geval let ons daarop dat ons die Element stockCheck
as ENIGS declareer.
Gidslys
In Java-gebaseerde aansoeke kan dit moontlik wees om die inhoud van 'n gids te lys via XXE met 'n lading soos (net vra vir die gids in plaas van die lêer):
SSRF
'n XXE kan gebruik word om 'n SSRF binne 'n wolk te misbruik
Blinde SSRF
Deur die voorheen gekommentarieerde tegniek te gebruik, kan jy die bediener laat toegang verkry tot 'n bediener wat jy beheer om te wys dat dit kwesbaar is. Maar, as dit nie werk nie, is dit miskien omdat XML-entiteite nie toegelaat word nie, in daardie geval kan jy probeer om XML-parameter-entiteite te gebruik:
"Blind" SSRF - Skuur data buite-band uit
In hierdie geval gaan ons die bediener 'n nuwe DTD laat laai met 'n skadelike lading wat die inhoud van 'n lêer via 'n HTTP-aanvraag sal stuur (vir meerlynige lêers kan jy probeer om dit uit te skuur via _ftp://_ deur hierdie basiese bediener byvoorbeeld te gebruik xxe-ftp-server.rb). Hierdie verduideliking is gebaseer op Portswiggers lab hier.
In die gegee skadelike DTD word 'n reeks stappe onderneem om data uit te skuur:
Skadelike DTD-voorbeeld:
Die struktuur is as volg:
Die stappe uitgevoer deur hierdie DTD sluit in:
Definisie van Parameter Entiteite:
'n XML-parameterentiteit,
%file
, word geskep wat die inhoud van die/etc/hostname
-lêer lees.'n Ander XML-parameterentiteit,
%eval
, word gedefinieer. Dit verklaar dinamies 'n nuwe XML-parameterentiteit,%exfiltrate
. Die%exfiltrate
-entiteit word ingestel om 'n HTTP-aanvraag na die aanvaller se bediener te maak, waar die inhoud van die%file
-entiteit binne die vraagstring van die URL oorgedra word.
Uitvoering van Entiteite:
Die
%eval
-entiteit word gebruik, wat lei tot die uitvoering van die dinamiese verklaring van die%exfiltrate
-entiteit.Die
%exfiltrate
-entiteit word dan gebruik, wat 'n HTTP-aanvraag na die gespesifiseerde URL met die lêer se inhoud aanstoot.
Die aanvaller bied hierdie skadelike DTD aan op 'n bediener onder hul beheer, tipies by 'n URL soos http://web-attacker.com/malicious.dtd
.
XXE Lading: Om 'n kwesbare aansoek te benut, stuur die aanvaller 'n XXE-lading:
Hierdie lading definieer 'n XML-parameterentiteit %xxe
en sluit dit in die DTD in. Wanneer verwerk deur 'n XML-parser, haal hierdie lading die eksterne DTD van die aanvaller se bediener af. Die parser interpreteer dan die DTD inline, voer die stappe uit wat in die skadelike DTD uitgelê is, en lei tot die uitlek van die /etc/hostname
-lêer na die aanvaller se bediener.
Fout-gebaseerd (Eksterne DTD)
In hierdie geval gaan ons die bediener 'n skadelike DTD laat laai wat die inhoud van 'n lêer binne 'n foutboodskap wys (dit is slegs geldig as jy foutboodskappe kan sien). Voorbeeld van hier.
'n XML-ontledingsfoutboodskap wat die inhoud van die /etc/passwd
-lêer onthul, kan geaktiveer word deur 'n skadelike eksterne Dokumenttipe-definisie (DTD) te gebruik. Dit word bereik deur die volgende stappe:
'n XML-parameterentiteit met die naam
file
word gedefinieer, wat die inhoud van die/etc/passwd
-lêer bevat.'n XML-parameterentiteit met die naam
eval
word gedefinieer, wat 'n dinamiese verklaring vir 'n ander XML-parameterentiteit met die naamerror
insluit. Hierdieerror
-entiteit, wanneer geëvalueer, probeer om 'n nie-bestaande lêer te laai, wat die inhoud van diefile
-entiteit as sy naam insluit.Die
eval
-entiteit word aangeroep, wat lei tot die dinamiese verklaring van dieerror
-entiteit.Die aanroeping van die
error
-entiteit lei tot 'n poging om 'n nie-bestaande lêer te laai, wat 'n foutboodskap produseer wat die inhoud van die/etc/passwd
-lêer as deel van die lêernaam insluit.
Die skadelike eksterne DTD kan aangeroep word met die volgende XML:
Bij uitvoering moet die webbediener se reaksie 'n foutboodskap insluit wat die inhoud van die /etc/passwd
-lêer vertoon.
Let asseblief daarop dat 'n eksterne DTD ons toelaat om een entiteit binne die tweede (eval
) in te sluit, maar dit is verbode in die interne DTD. Daarom kan jy nie 'n fout afdwing sonder om 'n eksterne DTD te gebruik (gewoonlik).
Fout-gebaseer (sisteem DTD)
Wat van blinde XXE kwesbaarhede wanneer out-of-band interaksies geblokkeer is (eksterne verbindinge is nie beskikbaar nie)?.
'n Oorweging in die XML-taal spesifikasie kan 'n blootstelling van sensitiewe data deur foutboodskappe veroorsaak wanneer 'n dokument se DTD interne en eksterne verklarings meng. Hierdie probleem maak die interne herdefiniëring van entiteite wat eksterne verklaar is moontlik, wat die uitvoering van fout-gebaseerde XXE-aanvalle fasiliteer. Sulke aanvalle maak gebruik van die herdefiniëring van 'n XML-parameterentiteit, oorspronklik verklaar in 'n eksterne DTD, van binne 'n interne DTD. Wanneer out-of-band verbindinge deur die bediener geblokkeer word, moet aanvallers staatmaak op plaaslike DTD-lêers om die aanval uit te voer, met die doel om 'n parsingsfout te veroorsaak om sensitiewe inligting bloot te lê.
Oorweeg 'n scenario waar die bediener se lêersisteem 'n DTD-lêer by /usr/local/app/schema.dtd
bevat, wat 'n entiteit genaamd custom_entity
definieer. 'n Aanvaller kan 'n XML-parsingsfout veroorsaak wat die inhoud van die /etc/passwd
-lêer blootstel deur 'n hibriede DTD in te dien soos volg:
Die uitgeligde stappe word uitgevoer deur hierdie DTD:
Die definisie van 'n XML-parameterentiteit genaamd
local_dtd
sluit die eksterne DTD-lêer in wat op die bediener se lêersisteem geleë is.'n Herdefinisie vind plaas vir die
custom_entity
XML-parameterentiteit, oorspronklik gedefinieer in die eksterne DTD, om 'n foutgebaseerde XXE-uitbuiting in te sluit. Hierdie herdefinisie is ontwerp om 'n parsingsfout te veroorsaak, wat die inhoud van die/etc/passwd
-lêer blootstel.Deur die
local_dtd
-entiteit te gebruik, word die eksterne DTD betrek, wat die nuut gedefinieerdecustom_entity
insluit. Hierdie reeks van aksies veroorsaak die uitsending van die foutboodskap wat deur die uitbuiting beoog word.
Werklike wêreld voorbeeld: Stelsels wat die GNOME-desktopomgewing gebruik, het dikwels 'n DTD by /usr/share/yelp/dtd/docbookx.dtd
wat 'n entiteit genaamd ISOamso
bevat.
Aangesien hierdie tegniek 'n interne DTD gebruik, moet jy eers 'n geldige een vind. Jy kan dit doen deur dieselfde BS / sagteware te installeer wat die bediener gebruik en 'n paar standaard DTD's te soek, of deur 'n lys van standaard DTD's binne stelsels te gryp en te kontroleer of enige van hulle bestaan:
Vir meer inligting kyk na https://portswigger.net/web-security/xxe/blind
Vind DTD's binne die stelsel
In die volgende wonderlike github-opberging kan jy paaie van DTD's wat in die stelsel teenwoordig kan wees, vind:
Verder, as jy die Docker-beeld van die slagofferstelsel het, kan jy die gereedskap van dieselfde opberging gebruik om die beeld te skandeer en die paaie van DTD's wat teenwoordig is binne die stelsel, te vind. Lees die Leesmy van die github om te leer hoe.
XXE via Office Open XML Parsers
Vir 'n meer in-diepte verduideliking van hierdie aanval, kyk na die tweede afdeling van hierdie fantastiese pos van Detectify.
Die vermoë om Microsoft Office-dokumente te laai word deur baie webtoepassings aangebied, wat dan voortgaan om sekere besonderhede uit hierdie dokumente te onttrek. Byvoorbeeld, 'n webtoepassing mag gebruikers toelaat om data in te voer deur 'n XLSX-formaat sigblad te laai. Ten einde die data uit die sigblad te onttrek, sal die ontleder onvermydelik ten minste een XML-lêer moet ontleder.
Om vir hierdie kwesbaarheid te toets, is dit nodig om 'n Microsoft Office-lêer te skep wat 'n XXE-lading bevat. Die eerste stap is om 'n leë gids te skep waarin die dokument uitgepak kan word.
Sodra die dokument uitgepak is, moet die XML-lêer wat geleë is by ./unzipped/word/document.xml
oopgemaak en in 'n voorkeur teksredigeerder (soos vim) gewysig word. Die XML moet gewysig word om die gewenste XXE-lading in te sluit, dikwels beginnende met 'n HTTP-aanvraag.
Die gewysigde XML-lyne moet tussen die twee hoof XML-voorwerpe ingevoeg word. Dit is belangrik om die URL met 'n monitorbare URL vir aanvrae te vervang.
Laastens kan die lêer saamgepak word om die skadelike poc.docx-lêer te skep. Vanuit die voorheen geskepte "unzipped" gids moet die volgende bevel uitgevoer word:
Nou kan die geskepte lêer na die moontlik kwesbare webtoepassing gelaai word, en 'n persoon kan hoop om 'n aanvraag in die Burp Collaborator-logboeke te sien verskyn.
Jar: protokol
Die jar-protokol is slegs toeganklik binne Java-toepassings. Dit is ontwerp om lêertoegang binne 'n PKZIP-argief (bv., .zip
, .jar
, ens.) moontlik te maak, wat beide plaaslike en afgeleë lêers bedien.
Om toegang te hê tot lêers binne PKZIP-lêers is baie nuttig om XXE te misbruik via stelsel DTD-lêers. Kyk na hierdie afdeling om te leer hoe om stelsel DTD-lêers te misbruik.
Die proses agter die toegang tot 'n lêer binne 'n PKZIP-argief via die jar-protokol behels verskeie stappe:
'n HTTP-versoek word gedoen om die zip-argief vanaf 'n gespesifiseerde plek af te laai, soos
https://download.website.com/archive.zip
.Die HTTP-antwoord wat die argief bevat, word tydelik op die stelsel gestoor, tipies op 'n plek soos
/tmp/...
.Die argief word dan uitgepak om toegang tot sy inhoud te verkry.
Die spesifieke lêer binne die argief,
file.zip
, word gelees.Na die operasie word enige tydelike lêers wat tydens hierdie proses geskep is, verwyder.
'n Interessante tegniek om hierdie proses by die tweede stap te onderbreek, behels om die bedienersverbinding onbepaald oop te hou wanneer die argief-lêer bedien word. Gereedskap beskikbaar by hierdie argief kan vir hierdie doel gebruik word, insluitend 'n Python-bediener (slow_http_server.py
) en 'n Java-bediener (slowserver.jar
).
Die skryf van lêers in 'n tydelike gids kan help om 'n ander kwesbaarheid te verhoog wat 'n padtraversie insluit (soos plaaslike lêer insluiting, templaat inspuiting, XSLT RCE, deserialisering, ens.).
XSS
DoS
Biljoen Lag Aanval
Yaml Aanval
Kwadratiese Uitduns Aanval
Kry NTML
Op Windows-gashere is dit moontlik om die NTML-hash van die webbedienergebruiker te kry deur 'n responder.py-handler in te stel:
en deur die volgende versoek te stuur
Versteekte XXE Oppervlaktes
XInclude
Wanneer kliëntdata geïntegreer word in bedienerskant XML-dokumente, soos dié in agterkant SOAP-versoeke, is direkte beheer oor die XML-struktuur dikwels beperk, wat tradisionele XXE-aanvalle belemmer as gevolg van beperkings op die wysiging van die DOCTYPE
element. 'n XInclude
-aanval bied egter 'n oplossing deur die invoeging van eksterne entiteite binne enige data-element van die XML-dokument moontlik te maak. Hierdie metode is doeltreffend selfs wanneer slegs 'n gedeelte van die data binne 'n bedieners-gegenereerde XML-dokument beheer kan word.
Om 'n XInclude
-aanval uit te voer, moet die XInclude
-naamruimte verklaar word, en die lêerpad vir die bedoelde eksterne entiteit moet gespesifiseer word. Hieronder is 'n bondige voorbeeld van hoe so 'n aanval geformuleer kan word:
Kyk na https://portswigger.net/web-security/xxe vir meer inligting!
SVG - Lêeroplaai
Lêers wat deur gebruikers na sekere toepassings opgelaai word en dan op die bediener verwerk word, kan kwesbaarhede uitbuit in hoe XML- of XML-bevattende lêerformate hanteer word. Gewone lêerformate soos kantoor dokumente (DOCX) en beelde (SVG) is gebaseer op XML.
Wanneer gebruikers beelde oplaai, word hierdie beelde aan die bedienerkant verwerk of geverifieer. Selfs vir toepassings wat formate soos PNG of JPEG verwag, kan die bediener se beeldverwerkingbiblioteek ook SVG-beelde ondersteun. SVG, as 'n op XML-gebaseerde formaat, kan deur aanvallers uitgebuit word om skadelike SVG-beelde in te dien, wat gevolglik die bediener blootstel aan XXE (XML External Entity) kwesbaarhede.
'n Voorbeeld van so 'n aanval word hieronder getoon, waar 'n skadelike SVG-beeld probeer om stelsel lêers te lees:
'n Ander metode behels 'n poging om bevele uit te voer deur die PHP "expect" omhulsel:
In beide gevalle word die SVG-formaat gebruik om aanvalle te lanceer wat die XML-verwerkingseienskappe van die bediener se sagteware benut, wat die behoefte aan deurslagkragtige insetvalidering en sekuriteitsmaatreëls beklemtoon.
Kyk na https://portswigger.net/web-security/xxe vir meer inligting!
Merk op dat die eerste lyn van die leeslêer of van die resultaat van die uitvoering BINNE die geskepte beeld sal verskyn. Jy moet dus in staat wees om toegang tot die beeld te verkry wat SVG geskep het.
PDF - Lêeroplaai
Lees die volgende pos om te leer hoe om 'n XXE te benut deur 'n PDF-lêer op te laai:
Content-Type: Van x-www-urlencoded na XML
As 'n POST-aanvraag die data in XML-formaat aanvaar, kan jy probeer om 'n XXE in daardie versoek te benut. Byvoorbeeld, as 'n normale versoek die volgende bevat:
Dan kan jy dalk die volgende versoek indien, met dieselfde resultaat:
Inhouds-Tipe: Van JSON tot XEE
Om die versoek te verander, kan jy 'n Burp-uitbreiding genaamd "Inhoudstipe-omsetter" gebruik. Hier kan jy hierdie voorbeeld vind:
'n Ander voorbeeld kan hier gevind word.
WAF & Beskermingsontduiking
Base64
Dit werk net as die XML-bediener die data://
protokol aanvaar.
UTF-7
Jy kan die ["Encode Recipe" van cyberchef hier ](https://gchq.github.io/CyberChef/#recipe=Encode_text%28'UTF-7 %2865000%29'%29&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4)to](https://gchq.github.io/CyberChef/#recipe=Encode_text%28'UTF-7 %2865000%29'%29&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4%29to) omskep na UTF-7.
Lêer:/ Protokol Oorslaan
As die web PHP gebruik, in plaas van om file:/
te gebruik kan jy php omhulsels php://filter/convert.base64-encode/resource=
gebruik om interne lêers te benader.
As die web Java gebruik kan jy die jar: protokol nagaan.
HTML Entiteite
Truuk van https://github.com/Ambrotd/XXE-Notes Jy kan 'n entiteit binne 'n entiteit skep deur dit te kodeer met html entiteite en dit dan roep om 'n dtd te laai. Let daarop dat die HTML Entiteite wat gebruik word, numeries moet wees (soos [in hierdie voorbeeld](https://gchq.github.io/CyberChef/#recipe=To_HTML_Entity%28true,'Numeric entities'%29&input=PCFFTlRJVFkgJSBkdGQgU1lTVEVNICJodHRwOi8vMTcyLjE3LjAuMTo3ODc4L2J5cGFzczIuZHRkIiA%2B)\).
DTD-voorbeeld:
PHP Omhulsels
Base64
Onttrek index.php
Onttrek eksterne hulpbron
Verre kode-uitvoering
Indien PHP "expect" module gelaai is
SOAP - XEE
XLIFF - XXE
Hierdie voorbeeld is geïnspireer deur https://pwn.vg/articles/2021-06/local-file-read-via-error-based-xxe
XLIFF (XML Lokalisering Uitruil Lêerformaat) word gebruik om data-uitruil in lokaliseringprosesse te standaardiseer. Dit is 'n op XML-gebaseerde formaat wat hoofsaaklik gebruik word vir die oordrag van lokaliseerbare data tussen gereedskap tydens lokalisering en as 'n algemene uitruilformaat vir KOT (Rekenaarondersteunde Vertaling) gereedskap.
Blinde Versoek Analise
'n Versoek word aan die bediener gestuur met die volgende inhoud:
Egter, hierdie versoek veroorsaak 'n interne bedieningsfout, wat spesifiek 'n probleem met die merkverklarings noem:
Ten spyte van die fout, word 'n tref op Burp Collaborator aangeteken, wat 'n sekere vlak van interaksie met die eksterne entiteit aandui.
Uit Band Data Uitlekking Om data uit te lek, word 'n gewysigde versoek gestuur:
Hierdie benadering onthul dat die Gebruiker Agent aandui dat Java 1.8 gebruik word. 'n Notasiebeperking met hierdie weergawe van Java is die onvermoë om lêers wat 'n nuwe lynkarakter bevat, soos /etc/passwd, te herwin deur die Out of Band-tegniek te gebruik.
Fout-Gebaseerde Data Uitlekking Om hierdie beperking te oorkom, word 'n Fout-Gebaseerde benadering gebruik. Die DTD-lêer is as volg gestruktureer om 'n fout te veroorsaak wat data vanaf 'n teikenglêer insluit:
Die bediener reageer met 'n fout, wat belangrik is om die nie-bestaande lêer te weerspieël, wat aandui dat die bediener poog om toegang tot die gespesifiseerde lêer te verkry:
Om die inhoud van die lêer in die foutboodskap in te sluit, word die DTD-lêer aangepas:
Hierdie wysiging lei tot die suksesvolle uitlek van die lêer se inhoud, soos weerspieël in die foutuitset wat via HTTP gestuur is. Dit dui op 'n suksesvolle XXE (XML Eksterne Entiteit) aanval, wat beide Out of Band en Fout-Gebaseerde tegnieke benut om sensitiewe inligting te onttrek.
RSS - XEE
Geldige XML met RSS-formaat om 'n XXE kwesbaarheid te benut.
Ping terug
Eenvoudige HTTP versoek na aanvallers se bediener
Lees lêer
Lees bronkode
Met PHP base64 filter
Java XMLDecoder XEE na RCE
XMLDecoder is 'n Java klas wat voorwerpe skep gebaseer op 'n XML-boodskap. As 'n skadelike gebruiker 'n aansoek kan kry om arbitrêre data te gebruik in 'n oproep na die metode readObject, sal hy dadelik kode-uitvoering op die bediener verkry.
Gebruik van Runtime().exec()
ProcessBuilder
Prosesbouer
Gereedskap
Verwysings
Haal inligting uit via HTTP deur eie eksterne DTD te gebruik: https://ysx.me.uk/from-rss-to-xxe-feed-parsing-on-hootsuite/\
Last updated