XML 注入

悠悠 2022-01-16 08:43 472阅读 0赞

## **0x00：简介** ##

首先先简单的说一下 xml，看一下它的全名称，叫 Xtensible Markup Language，即可扩展的标记语言，可直接理解为内容可自定义扩展，标签可自定义扩展。其实就是一个文本格式的文件，以 xml 结尾，里面的标签内容可以自定义。它具有很清晰的层次结构，便于阅读，经常被用来做配置文件和存储数据。web 中用 xml 格式来传输数据和处理的功能也有很多。而后端没有对 xml 传来的数据做严格的检查时即会造成 xml 注入。

以下是一个基本的 xml 格式：

<?xml version="1.0" encoding="ISO-8859-1"?>
    <bookstore>
        <book>
          <title>aaa</title> 
          <price>111</price> 
        </book>
        <book>
          <title>bbb</title> 
          <price>222</price> 
        </book>
        <book>
          <title>ccc</title> 
          <price>333</price> 
        </book>
    </bookstore>

第一行是 xml 文件的声明，然后是 xml 的内容，例子中的 bookstore 书店是根元素，其他元素都在 bookstore 标签中，book 标签有两个子元素，分别是书名 title，价格 price，和 html 的结构很像。

## **0x01：测试方法** ##

例如一个 web 应用，使用进行用户注册时，会以 xml 来存储数据到 xmldb 数据库中，当用户填写用户名，密码和邮箱时，后台存储的文件格式及内容如下：

<?xml version="1.0" encoding="ISO-8859-1"?>
    <users>
        <username>lurenjia</username>
        <password>lurenjia</password>
        <userid>0</userid>
        <mail>lurenjia@lurenjia.com</mail>
    </users>

xml 注入时可以先试一下 xml 中的一些有特殊作用的字符，好比测试 sql 注入我们可能先会输入一些单引号双引号等，测试 xss 时可能先输入尖括号等符号来大概看一下效果。

单引号（‘）：如果被注入的标签是属性值的一部分，那么输入单引号会引起 xml 解析异常。

当用户输入的值为 test'时，以上代码就变成了，解析会产生异常。

双引号（"）：这个和单引号相似，只不过 xml 节点属性值用的双引号，示例如下。

当用户输入的值为 test" 时，以上代码就变成了, 解析会产生异常。

尖括号（<、>）：当用户输入的内容包含了开放或者闭合的尖括号时，xml 也会解析异常，当 username 为 test < 时，节点示例如下。

注释标签（）：这个字符是注释符号的首尾符，可用来注释内容，当 username 为 test<!-- 时，节点示例如下：

与符号（&）: 这个符号在 xml 中表示实体的意思，以分号结尾，同时实体可用来引入一段内容或外部的文件，例如 & test; 这种格式，当 username 输入 & test 时，xml 会以实体来进行处理，因为没有分号结尾，所以会解析异常，节点示例如下：

区段分隔符 CDATA（<!\[CDATA\[/\]\]）: 这个分隔符的意义在于 xml 解析器不会去解析 CDATA 区段包含的字符，例如如果想在文本节点中表示字符串，则可以使用下面的 CDATA 区段。

那么就会被看为是字符数据，从而不会被解析为标记。

## **0x02：外部实体** ##

xml 可以去访问外部的 url 资源，内部的系统文件等，这种行为可以叫做 xxe，即外部实体攻击，类似于 xss 利用时引入的外部恶意脚本。外部实体即外部文件。例如以下示例。

<?xml version="1.0" encoding="ISO-8859-1"?>
        <!DOCTYPE root[
            <!ENTITY xxe SYSTEM "file:///etc/passwd">]>
            <root>&xxe;</root>

DOCTYPE 用来声明 DTD 的，ENTITY 用来声明实体，内部声明实体格式是:

<!ENTITY 实体名称 "实体值">

外部声明实体的格式是：

<!ENTITY 实体名称 SYSTEM "URI">

所以上述示例代码中声明了一个外部实体，变量名称叫 xxe，值引入的是 passwd 文件的路径，最后在 root 标签中引入了这个遍历。

## **0x03：bwapp** ##

这里我们直接拿 bwapp 来测试，找到 xxe 的测试项，抓包如下。

![请输入图片描述][format_png]

可以看到它会发送一段 xml 数据给 xxe-2 这个文件，我们进行测试，输入 xml 引用外部实体的代码，如下图。

![请输入图片描述][format_png 1]

上图绿框中就是新添加的引入外部实体的代码，然后我们通过 reset 节点就行了 test 变量的引用，服务器会读取这个文件的内容并进行返回。

当服务器没有任何返回时，或者只有错误信息，可能会存在盲注的情况，这时我们可以借助 burp 的 collaborator 来进行测试，实体引入部分放上 collaborator 生成的连接地址，如果后台访问了这个地址，那么我们这边便可以及时捕获到，说明服务器是存在 xxe 的，如下图。

![请输入图片描述][format_png 2]

## **0x04：代码分析** ##

我们可以顺便看一下 bwapp 给我们的示例代码加深印象，xxe-1.php 文件很简单，就是发送 xml 数据给 xxe-2.php，核心代码如下。

然后我们查看 xxe-2.php 的内容，先看第一部分的内容。

$message = "";
    $body = file_get_contents("php://input");
    
    if($_COOKIE["security_level"] != "1" && $_COOKIE["security_level"] != "2"){
        ini_set("display_errors",1);
        $xml = simplexml_load_string($body);
        $login = $xml->login;
        $secret = $xml->secret;
        if($login && $login != "" && $secret){        
            $sql = "UPDATE users SET secret = '" . $secret . "' WHERE login = '" . $login . "'";
            $recordset = $link->query($sql);
            if(!$recordset){
                die("Connect Error: " . $link->error);
            }
            $message = $login . "'s secret has been reset!";
        }else{
        $message = "An error occured!";
    }
    }

首先程序利用了 file\_get\_contents 获取了我们传来的内容，然后进行了安全等级的判断，如果不是 1 或者 2，也就是不是中级和高级，那么会 if 中的语句，if 中语句通过 simplexml\_load\_string 把我们传来的内容进行了 xml 解析，随后就直接进行了数据库的操作并返回了信息。可以看到，在这个过程中我们传来的 xml 内容并未做任何的限制和过滤。

之后我们在看下 else 部分的处理方式，也就是中高级时的内容，代码如下。

$secret = mysqli_real_escape_string($link, $secret);
    
        $sql = "UPDATE users SET secret = '" . $secret . "' WHERE login = '" . $login . "'";
    
        $recordset = $link->query($sql);
    
        if(!$recordset)
        {
    
            die("Connect Error: " . $link->error);
    
        }
    
        $message = $login . "'s secret has been reset!";

中高级多了一步处理，也就是使用了 mysqli\_real\_escape\_string 函数进行了 xml 内容的过滤，这个函数会过滤换行、制表、单引号、双引号等。这时原来的 xml 会被解析失败，关键符号被过滤了。这里需要提一下的是我这个 bwapp 不是最新的，最新版本 bwapp 不知都有没有更新，因为 mysqli\_real\_escape\_string 在 php5.5 中已经被弃用了，php7.0 删除了此函数，所以如果在开发中，不建议使用此函数。

## **0x05：防御** ##

对于 xxe 问题的防御 bwapp 中的过滤特殊字符是一种方式，另外同时也建议设置其禁用外部实体，基本每个开发语言都有禁用外部实体的方法，例如 php：

libxml_disable_entity_loader(true);

java:

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
    dbf.setExpandEntityReferences(false);

python:

from lxml import etree
    xmlData = etree.parse(xmlSource, etree.XMLParser(resolve_entities=False))

同时也建议过滤下 XML 的数据内容，过滤掉类似于 <!DOCTYPE、<!ENTITY、SYSTEM、PUBLIC 等关键字。

## **0x06：总结** ##

对于使用 xml 内容传输的功能也很常见，现在 xxe 也是我们 top10 之列，危害和 ssrf 也很类似，可用来做内网探测、文件读取等，测试时，我们可以先加入一些 xml 中特殊符号来进行测试，看返回是否有异常，若只返回类似的模糊错误信息，则可进行盲 xxe 的测试。防御时，尽量做到多种方法结合使用，有效避免 xxe 漏洞的产生。

--------------------

**                                                                                  公众号推荐：aFa攻防实验室**

**分享关于信息搜集、Web安全、内网安全、代码审计、红蓝对抗、Java、Python等方面的东西。**

![20191220230427373.jpg][]

[format_png]: /images/20220114/39dab5861b0c4c14b2ac53b0ca867f03.png
[format_png 1]: /images/20220114/5a72289a2f1f4957a81abca16ba0edda.png
[format_png 2]: /images/20220114/89d2fcb366ef4143ad24b5bd2564f46c.png
[20191220230427373.jpg]: /images/20220114/68c206843eaa412ba5f5f621895816cb.png