XXE的原理利用方式及修复
注:本文仅供参考学习
XXE定义: XXE，"xml external entity injection"，即"xml外部实体注入漏洞" 攻击者通过向服务器注入指定的xml实体内容，从而让服务器按照指定的配置进行执行，导致问题。
XXE原理： 服务端接收和解析了来自用户端的xml数据，而又没有做严格的安全控制，从而导致xml外部实体注入，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害
先来了解一下XML和DTD
DTD的基本概念：document type definition 文档类型定义
XML的基本概率:可扩展标记语言，标准通用标记语言的子集，简称XML。是一种用于标记电子文件使其具有结构性的标记语言
DTD文件一般和XML文件配合使用，主要是为了约束XML文件。
XML文件引入DTD文件，这样XML可以自定义标签，但又受到DTD文件的约束。格式示例: 我们还以班级为例，编写如下DTD文件，myClass.dtd：
1. <!ELEMENT 班级 (学生+)>
2. <!ELEMENT 学生 (名字,年龄,介绍)>
3. <!ELEMENT 名字 (#PCDATA)>
4. <!ELEMENT 年龄 (#PCDATA)>
5. <!ELEMENT 介绍 (#PCDATA)>第一行表示根元素为班级，并且有学生这个子元素，子元素为1或者多个。 第二行表示学生的子元素为名字，年龄，介绍 名字下面没有子元素了，那么#PCDATA表示名字里面可以放任意文本。 年龄和介绍也是类似。 编写myClass.xml文件并引入DTD文件如下：
<?xml version="1.0" encoding="utf-8"?>
<!--引入dtd文件，约束这个xml-->
<!DOCTYPE 班级 SYSTEM "myClass.dtd">
<班级\>
<学生\>
<名字\>周小星</名字\>
<年龄\>23</年龄\>
<介绍\>学习刻苦</介绍\>
</学生\>
<学生\>
<名字\>林晓</名字\>
<年龄\>25</年龄\>
<介绍\>是一个好学生</介绍\>
</学生\>
</班级\>system表示当前的DTD文件是本地的 public表示引入的DTD文件是来自于网络的 外部实体就是DTD没有约束的部分，就是指用户输入的数据，因为没做过滤所以就产生了这个漏洞
实战 这是个xml的api接口 我们先正常查询一下
<?xml version = "1.0"?>
<!DOCTYPE note [
<!ENTITY xxe "wulaoban">
]>
<name>&xxe;</name>
读取成功 接下来我们尝试构造读取/etc/passwd下的文件
<?xml version = "1.0"?>
<!DOCTYPE note [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<name>&xxe;</name>
成功读取,可以去读取其他一些文件或者做一些内网的端口探测等等操作
实战二 看到一个登陆界面 随便输账号密码抓包
发现了类似xml的东西 尝试构造xml文件读取/etc/passwd文件
读取成功 值得注意的是,在PHP里面解析xml用的是libxml，其在 ≥2.9.0 的版本中，默认是禁止解析xml外部实体内容的。所以就不存在xxe漏洞
xxe修复 方案：使用开发语言提供的禁用外部实体的方法
1.PHP：
libxml\_disable\_entity\_loader(true);//设置为true时禁止解析xml外部实体
2.JAVA:
DocumentBuilderFactory dbf=DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);
3.Python：
from lxml import etree
xmlData=etree.parse(xmlSource,etree.XMLParser(resolve\_entities=False))关于XXE的基本学习先告一段落了!继续加油^^