浅谈一种特殊格式的XXE漏洞

luozhenni · 发表于 2022-4-16 13:24:35

本帖最后由 luozhenni 于 2022-4-16 13:24 编辑

浅谈一种特殊格式的XXE漏洞

你回来吗雾晓安全 2022-04-16 08:30
原文链接：浅谈一种特殊格式的XXE漏洞
文章来源：先知社区（你回来吗）
原文地址：https://xz.aliyun.com/t/11203#toc-0

0x00 背景

前两天在realworld挖到一个docx的xxe漏洞，昨天朋友和我说国外某CTF也出现其中考点了，所以我把docx格式的xxe来简单总结下

0x01 前置知识

首先是关于docx这种格式在微软2007之后在传统的文件名都添加了x 比如pptx xlsx,还有我们本文提到的docx 他的优点是占用空间会比doc文件占有的少，并且他的本质其实是个xml文件
当你拿到一个docx文件时使用本机自带的unzip命令进行解压

会得到如下的xml文件因为docx文件的主要内容是保存为xml的他是保存在一个压缩包然后取扩展名为zip 这里面主要存储信息的地方在于word文件夹下的document.xml

我们发现在word输入的内容在

<w:t>&xxe;</w:t>

复制代码

这个标签内解析xml实体的位置也是如此

0x02 lets xxe 1

第一个位点就是我们刚才提到的地方
我们只需要做的是在xml声明处添加如下第一行代码在第二行标签进行修改

<!DOCTYPE test [<!ENTITY test SYSTEM 'file:///etc/passwd'>]>
<w:t>&test;</w:t>

复制代码

然后将文件重新压缩修改为.docx 然后找到上传点上传就可以

但做好的即使用微软官方的word并不能打开发现只有用Libreoffice时候能解析
当然这个在ctf题中也有案例感兴趣的师傅可以翻阅HackPack 2021 Indead v2 用一模一样的方法就可以

0x03 xxe 2

首先是关于
第一种方法被广流传之后很多都进行了相对的修改当然最暴力的方法就是直接禁止实体解析，当然也有做的相对柔和一点就是在document.xml里面检测了关键字很显然这种方法并不全面那我们需要探索的就是是否有别的位点
我注意到在线浏览或者转换pdf的地方还有一个回显点就是页码

经过简单翻找可以看到

在docProps/app.xml标签里面
在pages这里面加入xxe语句即可
0x04 ole to readfile

然后就是出自前几天比赛学习的一种新手法这种手法只适用于Libreoffice 并且在实战场景是有利用空间的很多在线网站word转pdf用的都是libreoffice

这道题的设计背景就是试了xxe发现不行然后就各种搜索资料发现word文档是可以以文件的方式嵌入和链接OLE对象 OLE就是一种面向对象技术利用这种方式就可以把文件声音图像表格应用程序组合在一起
选择插入 OLE Object

然后在这里选择Link to file

可以看到这里面可以成功读取

然后我们保存这里面要注意一个坑不能直接保存为docx格式要先保存为odt格式我们再手动修改扩展名
这时候以zip格式打开就可以看到

格式大概是这样我们打开content.xml

可以看到在xlink: href 这里面连接到/etc/passwd 那你也能想到我们可以把他修改/flag上传

这时候我们发现是可行的但是这种方法读取的行数是有限的读不到完整flag
解决方法也很简单我们自己写个文本框来解析代码如下

<text:section text:name="string"><text:section-source xlink:href="../../../../../../flag" xlink:type="simple" xlink:show="embed" xlink:actuate="onLoad"/></text:section>

复制代码

可以看到能过成功解析读取flag
0x05 docx压缩包的其他考点

回过头来我们想当他本质是个压缩包的话 php有丰富的伪协议 zip 如果我们在php网站有这种上传docx的地方也可以考虑把php一句话写入然后用zip://把它解压出来

后来发现早有师傅想到这个点了

		自动登录	找回密码
密码			立即注册