好刚: 视频介绍XXE 漏洞

视频讲解XXE 漏洞,懂点关注XXE 漏洞的攻击原理和流程流程,最后给出XXE 漏洞的防范措施

你好,我是好刚,这一讲我们来了解XXE 漏洞 (XML External Entity Injection)。

1. 背景

前两天微信提供给商家的java SDK 被发现存在XXE漏洞,通过这个漏桶,攻击者可以获取服务器上的代码文件内容,包括各种公私秘钥等。那获取这些信息以后,攻击者就可以做很多事情了,其中就可能包括媒体宣传的“0元也能买买买”。今天我就来带你了解下这个漏洞。

2 XXE 漏洞原理

这次的漏洞是XXE漏洞,全称叫:XML 外部实体注入(XML External Entity Injection)。

首先是XML,XML 是一种标记语言,可以用来定义数据类型,定义好的数据可以方便的在系统间传输和使用。XML文档结构可以分为XML声明、文档类型定义(DTD)、文档元素,其中DTD 是可选的,漏洞就是在解析DTD 时产生的。

2.1 DTD 与实体

这里DTD(文档类型定义)的作用是定义XML文件中有哪些元素、元素的属性、以及元素包含的内容等等,DTD 可以在 XML 文档内声明,也可以从外部引用,从外部应用时需要使用 SYSTEM 标识。

DTD 中可以定义实体,在内部DTD 中声明的实体称为内部实体,外部DTD 中声明的称为外部实体。实体就像一个常量,可以将一串普通文本定义为一个实体,就可以在XML 通过实体快捷的引用这段描述。

对实体的定义可能比较抽象,我们先来看下内部实体示例,来看下实体到底是什么。

在解析XML时,实体将会被替换成相应的引用内容,经过解析后,XML 编程这样:

2.2 外部实体

在DTD中,还可以使用 SYSTEM 标识,从外部url 和本地file 文件中引入外部实体。

这里实体将会被替换成相应的引用内容,也就是/etc/password。正是因为外部实体可以解析url 和本地文件,这才使得XXE 攻击成为可能。我们继续往下看攻击者是怎么样基于这一点实现攻击的。

3 XXE漏洞攻击流程

这里以利用XML 解析外部实体的特性读取服务器文件信息为例,介绍下整个攻击流程。

  1. 假设受攻击者的web 服务器中存在POST接口: 127.0.0.1/wxpay/callback,这个接口中接收xml 字符串做参数,并且会对xml 参数进行解析。

  2. 构造请求数据,请求的xml 内容如下:

/etc/password 是要窃取的对象,password 保存了用户列表,这个文件太重要。

http://127.0.0.1:9000/xxe.dtd 是攻击者服务器中的dtd 文件,内容如下:

  1. 受攻击者的web 服务器解析收到的xml 参数时,会按如下步骤进行解析

第一步,读取 file:///etc/password 的内容,作为 % file 实体的值
第二步:请求攻击者的外部DTD,通过 http://127.0.0.1:9000/xxe.dtd 会拿到恶意的DTD 文件。
第三步:解析恶意DTD 文件 xxe.dtd,这时会请求 http://127.0.0.1:9000/attack/%file; ,并且带上 /etc/password 文件里面的内容作为路径参数,这个请求会在攻击者服务器 http://127.0.0.1:9000 中留下请求记录,这样攻击者就拿到了 /etc/password 文件的内容。

这个示例中,窃取的是 /etc/password 文件的内容,实际上只要有文件读权限,就可以获取服务器中任何文件的内容,比如代码里面的秘钥。

3.2 支付漏洞是怎么回事

了解xxe 漏洞原来,我们来看下这次漏洞对微信的影响到底是什么样。

首先来看一个简略版的支付流程:

  1. 正常用户选择好商品,请求商家服务器进行下单,商家计算付款金额后显示支付页面,提示用户支付
  2. 用户根据支付金额触发微信支付,注意,这个时候用户会进入微信支付的页面,与微信进行交互,并且完成支付。
  3. 微信用户将完成支付的消息回调给商家服务器,通知商家用户已经支付,商家确认订单和支付金额后也将订单状态改为已付款。
  4. 然后提示用户付款完成,跳转到购买成功的页面

当然实际的支付流程比这复杂得多,感兴趣的同学可以给出下方参考资料找到详细文档。

这里产生支付漏洞的位置是在第3 步,微信通过请求商家服务器,通知商家用户已经支付,这个接口的代码一般会使用微信的SDK 进行开发,这个SDK 里面有段代码在解析XML 请求数据时,产生了漏洞,这就是这次攻击的由来。

4. 漏洞的解决

通过介绍,我们知道XXE 漏洞之所以能够存在,本质上在于在解析XML的时候,可以与外部进行通信,使攻击便成为可能。那解决该漏洞的办法也非常简单,就是禁止XML 解析时可以访问外部实体,代码上需要明确调用禁用解析外部实体的函数。

java 语言

php 语言,需要注意PHP 5.3 以后的版本默认是不会解析外部实体的,这就极大降低了受影响的可能性,当然也有函数明确禁止。

5. 总结反思

5.1 危害不只是不花钱

最后总结下,在很多媒体的报道中,都强调通过这个漏洞,攻击者不花钱就可以获得商品。不过很多大型购物网站,都会有对账系统,会定时将网站的用户订单数据与微信后台的数据进行对比,出现不一致时会及时报警,所以这个漏洞在这方面的影响可能并没有想象的那么大。

另外除了不花钱获取商品,攻击者更可能造成的危害是,通过漏洞获取到了应用服务器上的代码、数据和配置登录信息,然后再根据这些信息进行进一步的攻击,这个危害更严重。

5.2 检查提供XML 支持的接口

XXE 漏洞是由于XML 解析器默认不会禁用对外部实体的访问,因此只要我们的系统对外的接口有使用xml做请求参数,并且在解析xml参数时,没有禁用对外部实体的访问,那也容易掉进XXE漏洞的坑里。建议大家最好检查一下自己的应用中是否有类似的漏洞,及时修复。

5.3 使用JSON

最后,用于数据传输的格式还有JSON,相比XML,JSON 更加轻量和现代化,不像XML 有那么复杂的数据格式,所以JSON 更适合于系统间的数据交换,所以如果可以,建议考虑多使用JSON。

安全无小事,XXE 漏洞就介绍到这,你听懂了吗,听懂了就来关注转发下,让身边的同事也了解下。我是好刚,好钢用在刀刃上,我们下期见。

参考资料

发表评论