Web安全 | 带你了解一下XML及其注入的相关知识

小目录:

1、认识XML DTD

2、XML注入

3、XPath注入

4、XSL和XSLT注入

前言

前段时间学习了.Net,通过更改XML让连接数据库变得更方便,简单易懂,上手无压力,便对XML注入这块挺感兴趣的,刚好学校也开了XML课程,忍不住花时间研究了一下

首先认识XML

XML有两个先驱——SGML(标准通用标记语言)和HTML(超文本标记语言),这两个语言都是非常成功的标记语言。SGML多用于科技文献和政府办公文件中,SGML非常复杂,其复杂程度对于网络上的日常使用简直不可思议。HTML免费、简单,已经获得了广泛的支持,方便大众的使用。而XML(可扩展标记语言)它既具有SGML的强大功能和可扩展性,同时又具有HTML的简单性。

XML 与 HTML 的主要差异

XML 不是 HTML 的替代。

XML 和 HTML 为不同的目的而设计:

XML 被设计为传输和存储数据,其焦点是数据的内容。

HTML 被设计用来显示数据,其焦点是数据的外观。

HTML 旨在显示信息,而 XML 旨在传输信息。

HTML只是XML的子类。

然后认识DTD

文档类型定义(DTD)可定义合法的XML文档构建模块。它使用一系列合法的元素来定义文档的结构。

DTD 可被成行地声明于 XML 文档中,也可作为一个外部引用。

不过,XML对于标记的语法规定比HTML要严格地多,如下:

区分大小写

在标记中必须注意区分大小写,在XML中,<TEST>和<test>是两个截然不同的标记

要有正确的结束标记

结束标记除了要和开始编辑在拼写和大小上完全相同,还必须在前面加上一个斜杠“/”

若开始标记<test>,结束标记则为</test>。XML严格要求标记配对,HTML中的<br>、<hr>的元素形式在XML中是不合法的。当一对标记之间没有任何文本内容时,可以不写结束标记,在开始标记的末尾加上斜杠”/”来确认,例如:<test /> 这样的标记被称为“空标记”。

标记要正确嵌套

在一个XML元素中允许包含其他XML元素,但这些元素之间必须满足嵌套性

有效使用属性

标记中可以包含任意多个属性。在标记中,属性以名称/取值对出现,属性名不能重复,名称与取值之间用等号“=”分隔,且取值用引号引起来。

举个例子:<衣服 品牌=“耐克” 类型=“T恤” >

XML基础

XML声明:<?xmlversion="1.0"encoding="utf-8" ?>

内部DTD声明:<!DOCTYPE根元素名称 [元素声明]>

在DTD中定义属性:<!ATTLIST元素名 (属性名 属性类型 缺省值)*>

外部实体声明:<!ELEMENT实体名称 SYSTEM “URI/URL”>

XML注入

XML的设计宗旨是传输数据,而非显示数据。

XML注入是一种古老的技术,通过利用闭合标签改写XML文件实现的。

举个最简单的例子:

<?xmlversion="1.0"encoding="utf-8" ?>

<USER>

 <user Account="admin">用户输入</user>

<user Account="root">root</user>

</USER>

若攻击者刚好能掌控用户输入字段,输入

admin</user><user Account="hacker">hacker

最终修改结果为:

<?xmlversion="1.0"encoding="utf-8" ?>

<USER>

 <user Account="admin">admin</user>

 <user Account="hacker">hacker</user>

<user Account="root">root</user>

</USER>

这样我们可以通过XML注入添加一个管理员账户

XML注入两大要素:

标签闭合和获取XML表结构

XPath注入

XPath 是一门在 XML 文档中查找信息的语言。XPath 用于在 XML 文档中-通过元素和属性进行导航。类似jquery选择器的选择路径。

XPath的强大之处在于逻辑运算,使程序变得更有逻辑性,同时也会造成注入漏洞。

通过XPath注入攻击,可以攻击XML。XPath与SQL注入的方式类似,首先我们了解一下SQL注入。

假设有一张BookDB表,其中包括BookID、BookName、Price,

用Sql Server查询图书ID时SQL语句代码如下:

select * from BookDB where BookID=1

当我们输入1 or 1=1时,运行结果可以显示当前表中的所有数据,这就是SQL注入攻击,与XPath注入原理相似,这时我们把BookDB换成XML,代码如下:

<?xmlversion="1.0"encoding="utf-8" ?>
<bookstore>
 <book>
   <bookid>001</bookid>
   <bookname>C语言从入门到精通</bookname>
   <price>38</price>
 </book>
 <book>
   <bookid>002</bookid>
   <bookname>GO语言从入门到放弃</bookname>
   <price>28</price>
 </book>
 <book>
   <bookid>003</bookid>
   <bookname>ASP.NET网站开发</bookname>
   <price>48</price>
 </book>
 <book>
   <bookid>004</bookid>
   <bookname>WinFrom开发桌面应用程序</bookname>
   <price>58</price>
 </book>
 <book>
   <bookid>005</bookid>
   <bookname>JAVA编程思想</bookname>
   <price>65</price>
 </book>
 <book>
   <bookid>006</bookid>
   <bookname>C#面向对象程序设计</bookname>
   <price>45</price>
 </book>
</bookstore>

若需要查询编号为001的图书对应的书名,则XPath语句为:

/bookstore/book[bookid/text()='001']/bookname

下面我们用JavaScript来查询,代码如下

<!DOCTYPEhtml>
<html>
<head>
   <metahttp-equiv="Content-Type"content="text/html; charset=utf-8"/>
   <title></title>
   <metacharset="utf-8"/>
</head>
<body>
   <scripttype="text/javascript">
       functionloadXMLDoc(dname) {
            if (window.XMLHttpRequest) {
                xhttp = new XMLHttpRequest();
            }
            else {
                xhttp = new ActiveXObject("Microsoft.XMLHTTP");
            }
            xhttp.open("GET", dname, false);
            xhttp.send("");
            return xhttp.responseXML;
       }
       xml = loadXMLDoc("../BookList.xml");
       path = "/bookstore/book[bookid/text()='001']/bookname";
       if(window.ActiveXObject) {
            var nodes = xml.selectNodes(path);
            for (i = 0; i < nodes.length; i++) {
               document.write(nodes[i].childNodes[0].nodeValue);
                document.write("<br />");
            }
       }
       elseif(document.implementation && document.implementation.createDocument) {
            var nodes = xml.evaluate(path, xml, null, XPathResult.ANY_TYPE, null);
            var result = nodes.iterateNext();
            while (result) {
               document.write(result.childNodes[0].nodeValue);
                document.write("<br />");
                result = nodes.iterateNext();
            }
       }
   </script>
</body>
</html>

运行结果为:

假设我们可以控制XPath语句,那么可以使用之前提到的or 1=1遍历全部的bookname,

代码如下:

/bookstore/book[bookid/text()='001' or1=1]]/bookname

JavaScript代码如下:

<!DOCTYPEhtml>
<html>
<head>
   <metahttp-equiv="Content-Type"content="text/html; charset=utf-8"/>
   <title></title>
   <metacharset="utf-8"/>
</head>
<body>
   <scripttype="text/javascript">
       functionloadXMLDoc(dname) {
            if (window.XMLHttpRequest) {
                xhttp = new XMLHttpRequest();
            }
            else {
                xhttp = new ActiveXObject("Microsoft.XMLHTTP");
            }
            xhttp.open("GET", dname, false);
            xhttp.send("");
            return xhttp.responseXML;
       }
       xml = loadXMLDoc("../BookList.xml");
       path = "/bookstore/book[bookid/text()='001' or 1=1]]/bookname";     
       if(window.ActiveXObject) {
            var nodes = xml.selectNodes(path);
            for (i = 0; i < nodes.length; i++) {
               document.write(nodes[i].childNodes[0].nodeValue);
                document.write("<br />");
            }
       }
       elseif(document.implementation && document.implementation.createDocument) {
   var nodes = xml.evaluate(path, xml, null, XPathResult.ANY_TYPE, null);
   var result = nodes.iterateNext();
        while (result) {
               document.write(result.childNodes[0].nodeValue);
                document.write("<br />");
                result = nodes.iterateNext();
            }
       }
   </script>
</body>
</html>

运行结果为:

成功get所有的bookname,这里建议大家不要用XML传输一些敏感信息

XSL介绍

XSL 指扩展样式表语言(EXtensible Stylesheet Language),XML本身就是一个XML文档,它是通过XML进行定义的,遵守XML的语法规则,是XML的一种具体应用。

如果说HTML的样式表是CSS,那么XML的样式表就是XSL。但XSL比CSS更强大。

XSL - 不仅仅是样式表语言

XSL 包括三部分:

XSLT:一种用于转换 XML 文档的语言。

XPath:一种用于在 XML 文档中导航的语言。

XSL-FO:一种用于格式化 XML 文档的语言。

什么是XSLT?

XSL(可扩展样式表语言)是一种用于转换XML文档的语言,XSLT表示的就是XSL转换,而XSL转换指的就是XML文档本身。转换后得到的一般都是不同的XML文档或其他类型文档,例如HTML文档、CSV文件以及明文文本文件等等。

首先我们来看一下XML与XSLT之间的转换

先来看看下面这个XML文件(cdcatalog.xml):

<?xmlversion="1.0"encoding="utf-8" ?>
<catalog>
 <cd>
   <title>Empire Burlesque</title>
   <artist>Bob Dylan</artist>
   <country>USB</country>
   <company>Columbia</company>
   <price>10.90</price>
   <year>1985</year>
 </cd>
</catalog>

接下来,我们使用下XSL转换技术来将XML文档转换为明文文本文件

以下是XSTL文件(cdcatalog.xslt)代码:

<?xmlversion="1.0"encoding="utf-8"?>
<xsl:stylesheetversion="1.0"xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
 <xsl:templatematch="/">
   <html>
     <body>  
       <h2>My CD Collection</h2>
       <tableborder="1">
         <trbgcolor="#9acd32">
           <thalign="left">Title</th>
           <thalign="left">Artist</th>
         </tr>
         <xsl:for-eachselect="catalog/cd">
           <tr>
              <td>
                <xsl:value-ofselect="title"/>
              </td>
              <td>
                <xsl:value-ofselect="artist"/>
              </td>
           </tr>
         </xsl:for-each>
       </table>
     </body>
   </html>
 </xsl:template>
</xsl:stylesheet>

由于样式表不能直接运行,所以我们将 XSL 样式表链接到 XML 文档里向XML 文档("cdcatalog.xml")添加 XSL 样式表引用,代码如下:

<?xmlversion="1.0"encoding="utf-8" ?>
<?xml-stylesheettype="text/xsl"href="cdcatalog.xslt"?>
<catalog>
 <cd>
   <title>Empire Burlesque</title>
   <artist>Bob Dylan</artist>
   <country>USB</country>
   <company>Columbia</company>
   <price>10.90</price>
   <year>1985</year>
 </cd>
</catalog>

运行结果如下:

寻找切入点

假设应用程序可以生成下列XSLT文档(cdcatalog.xslt),而字符串

HELLO I FIND YOU 来自于不受信任的用户输入。

<?xmlversion="1.0"encoding="utf-8"?>
<xsl:stylesheetversion="1.0"xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
 <xsl:templatematch="/">
   <html>
     <body>
       HELLO I FIND YOU
       <h2>My CD Collection</h2>
       <tableborder="1">
         <trbgcolor="#9acd32">
           <thalign="left">Title</th>
           <thalign="left">Artist</th>
         </tr>
         <xsl:for-eachselect="catalog/cd">
           <tr>
              <td>
                <xsl:value-ofselect="title"/>
              </td>
              <td>
                <xsl:value-ofselect="artist"/>
              </td>
           </tr>
         </xsl:for-each>
       </table>
     </body>
   </html>
 </xsl:template>
</xsl:stylesheet>

运行结果:

为了确认应用程序是否存在这个漏洞,我们可以向其注入一些类似双引号、单引号以及破折号等特殊字符,因为这类字符可以让XML文档中的语句失效。如果服务器返回了错误,那么这个应用就很有可能存在漏洞。需要注意的是,这种方法同样适用于XML注入漏洞。

system-property()函数

我们可以使用system-property()函数来查看代码库的开发者名称,该功能符合XSLT v1.0标准,所有的代码库都实现了这种功能。

有效参数:

xsl:vendor

xsl:vendor-url

xsl:version

下面代码可以用来确定代码库的开发者(vendor):

<?xmlversion="1.0"encoding="utf-8"?>
<xsl:stylesheetversion="1.0"xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
 <xsl:templatematch="/">
   <html>
     <body>
       <xsl:value-ofselect="system-property('xsl:vendor')"/>
     </body>
   </html>
 </xsl:template>
</xsl:stylesheet>

运行结果如下:

若想查看URL,在参数后加上-url,得到结果如下:

Import和Include

import和include标签可以用来合并多个XSLT文档,但是只能在XSLT文档中间注入内容的话,也就不能直接使用XML外部实体(XXE)攻击或脚本来进行攻击了,因为这些攻击技术要求我们在文档头部实现内容注入。

我们用上面讲到的cdcatalog.xslt文件演示一下:

<?xmlversion="1.0"encoding="utf-8"?>
<xsl:stylesheetversion="1.0"xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
 <xsl:templatematch="/">
   <html>
     <body>
       <h2>My CD Collection</h2>
       <tableborder="1">
         <trbgcolor="#9acd32">
           <thalign="left">Title</th>
           <thalign="left">Artist</th>
         </tr>
         <xsl:for-eachselect="catalog/cd">
          <tr>
           <td>
             <xsl:value-ofselect="title"/>
           </td>
           <td>
             <xsl:value-ofselect="artist"/>
           </td>
          </tr>
         </xsl:for-each>
       </table>
     </body>
   </html>
 </xsl:template>
</xsl:stylesheet>

我们需要include下面这个名为“include.xslt”的外部XSLT文件:

<?xmlversion="1.0"encoding="utf-8"?> <xsl:stylesheetversion="1.0"xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
   <xsl:templatematch="/">
   <html>
     <body>
       We are all anonymous
     </body>
   </html>
   </xsl:template>
 </xsl:stylesheet>

若想引用include外部文档,我们需要注入语句为:

<xsl:includehref="include.xslt"/>

由于XML中开始标签与闭合标签都是成对出现的,所以我们需要闭合“xsl:template”标签,然后添加“xsl:include”标签,最终语句如下:

</xsl:template>
 <xsl:includehref="include.xslt"/>
 <xsl:templatename="a">

最终代码如下:

<?xmlversion="1.0"encoding="utf-8"?>
<xsl:stylesheetversion="1.0"xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
 <xsl:templatematch="/">
 </xsl:template>
 <xsl:includehref="include.xslt"/>
 <xsl:templatename="a">
   <html>
     <body>
       <h2>My CD Collection</h2>
       <tableborder="1">
         <trbgcolor="#9acd32">
           <thalign="left">Title</th>
           <thalign="left">Artist</th>
         </tr>
         <xsl:for-eachselect="catalog/cd">
           <tr>
              <td>
                <xsl:value-ofselect="title"/>
              </td>
              <td>
                <xsl:value-ofselect="artist"/>
              </td>
           </tr>
         </xsl:for-each>
       </table>
     </body>
   </html>
 </xsl:template>
</xsl:stylesheet>

结果如下:

注入成功,仅显示include外部文档。

小结:

1、尽量不要用XML传输敏感数据

2、尽可能地避免用户提供的XSLT文档

3、不要轻易相信外来的XSLT文档

原文发布于微信公众号 - 小白帽学习之路(bat7089)

原文发表时间:2019-06-01

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

扫码关注云+社区

领取腾讯云代金券