XXE: XML बाहरी इकाई

इस लेख में हम बताएंगे कि बाहरी एक्सएमएल संस्थाओं का इंजेक्शन क्या है, कुछ सामान्य उदाहरणों का वर्णन करें, विभिन्न प्रकार के XXE इंजेक्शनों को खोजने और उनका उपयोग करने के तरीके के बारे में बताएं, और उनकी मदद से हमलों को रोकने के लिए सामान्यीकरण भी करें।

बाहरी एक्सएमएल संस्थाओं का एक इंजेक्शन क्या है?

एक्सएमएल एक्सटर्नल एंटिटीज (जिसे एक्सएक्सई के रूप में भी जाना जाता है) को इंजेक्ट करना एक वेब सुरक्षा भेद्यता है जो किसी हमलावर को एक्सएमएल डेटा के प्रसंस्करण के साथ हस्तक्षेप करने की अनुमति दे सकता है। यह अक्सर एक हमलावर को एप्लिकेशन सर्वर फाइल सिस्टम में फाइलों को देखने और किसी भी सर्वर या बाहरी सिस्टम के साथ इंटरैक्ट करने की अनुमति देता है जिसे एप्लिकेशन खुद एक्सेस कर सकता है।

कुछ स्थितियों में, एक हमलावर सर्वर-साइड अनुरोध जालसाजी हमलों (SSRFs) को निष्पादित करने के लिए XXE भेद्यता का शोषण करके एक कोर सर्वर या अन्य आंतरिक बुनियादी ढांचे से समझौता करने के लिए एक XXE हमले का लाभ उठा सकता है।

XXE कमजोरियां कैसे उत्पन्न होती हैं?

कुछ एप्लिकेशन ब्राउजर और सर्वर के बीच डेटा ट्रांसफर करने के लिए XML फॉर्मेट का इस्तेमाल करते हैं। ऐसा करने वाले एप्लिकेशन सर्वर पर XML डेटा को संसाधित करने के लिए लगभग हमेशा मानक पुस्तकालय या प्लेटफ़ॉर्म एपीआई का उपयोग करते हैं। XXE भेद्यताएं उत्पन्न होती हैं क्योंकि XML विनिर्देशन में विभिन्न संभावित खतरनाक कार्य होते हैं, और मानक पार्सर इन कार्यों का समर्थन करते हैं, भले ही वे आमतौर पर एप्लिकेशन द्वारा उपयोग नहीं किए जाते हों।

एक्सएमएल बाहरी इकाइयां एक प्रकार की कस्टम एक्सएमएल इकाई हैं, जिनके विशिष्ट मान डीटीडी फाइलों से लोड किए जाते हैं, जिसमें वे लिखे जाते हैं। बाहरी इकाइयां विशेष रूप से सुरक्षा के दृष्टिकोण से दिलचस्प हैं, क्योंकि वे आपको फ़ाइल पथ या URL की सामग्री के आधार पर एक इकाई को परिभाषित करने की अनुमति देते हैं।

किस प्रकार के XXE हमले मौजूद हैं?

• फ़ाइलों को निकालने के लिए XXE का उपयोग करना, जहां फ़ाइल की सामग्री सहित एक बाहरी इकाई निर्धारित होती है और आवेदन प्रतिक्रिया में वापस आ जाती है।
• SSRF हमलों को करने के लिए XXE का उपयोग करना, जहां आंतरिक प्रणाली के URL के आधार पर एक बाहरी इकाई निर्धारित की जाती है।
• नियंत्रण चैनल पर XXE जानकारी के अंधे निष्कर्षण का उपयोग करना, जहां संवेदनशील डेटा को एप्लिकेशन सर्वर से हमलावर द्वारा नियंत्रित प्रणाली में स्थानांतरित किया जाता है।
• जब एक हमलावर आवश्यक जानकारी युक्त त्रुटि संदेश को ट्रिगर कर सकता है, तो त्रुटि संदेशों से डेटा वापस करने के लिए अंधे XXE का उपयोग करना।
• फ़ाइलों को निकालने के लिए XXE का उपयोग करना

प्रपत्र XXE इंजेक्शन का हमला करने के लिए, जो सर्वर फ़ाइल सिस्टम से एक मनमानी फ़ाइल निकालता है, आपको दो तरीकों में से एक में प्रस्तुत XML को संशोधित करना होगा:

• फ़ाइल पथ वाले बाहरी निकाय को परिभाषित करने वाले DOCTYPE तत्व को दर्ज (या संशोधित) करें।
• एक्सएमएल में डेटा के मूल्य को बदलकर एक विशिष्ट बाहरी इकाई का उपयोग करने के लिए आवेदन प्रतिक्रिया में वापस आ गया।

उदाहरण के लिए, मान लीजिए कि एक शॉपिंग एप्लिकेशन सर्वर पर निम्नलिखित XML भेजकर उत्पाद स्टॉक की मात्रा की जांच करता है:

<?xml version="1.0" encoding="UTF-8"?> <stockCheck><productId>381</productId></stockCheck>      XXE,     XXE    /etc/passwd,    XXE: <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <stockCheck><productId>&xxe;</productId></stockCheck> 

यह XXE संरचना एक बाहरी इकाई और xxe को परिभाषित करती है, जिसका मान / etc / passwd फ़ाइल की सामग्री है, और मान productId के साथ एक इकाई का उपयोग करता है। यह फ़ाइल की सामग्री को शामिल करने के लिए अनुप्रयोग प्रतिक्रिया का कारण बनता है:

 Invalid product ID: root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin ... 

वास्तविक एक्सएक्सई कमजोरियों के मामले में, प्रस्तुत एक्सएमएल में अक्सर बड़ी संख्या में डेटा मूल्य होंगे, जिनमें से कोई भी अनुप्रयोग प्रतिक्रिया में उपयोग किया जा सकता है। एक नियम के रूप में, XXE कमजोरियों के व्यवस्थित परीक्षण के लिए, एक्सएमएल में प्रत्येक डेटा नोड को व्यक्तिगत रूप से जांचना, एक विशिष्ट इकाई का उपयोग करना और प्रतिक्रिया की स्थिति देखना आवश्यक होगा।

संवेदनशील डेटा निकालने के अलावा, XXE हमलों का उपयोग करने का एक और तरीका उन्हें नकली सर्वर-साइड अनुरोधों (SSRF) का उपयोग करना है।

यह एक संभावित गंभीर भेद्यता है, इसकी मदद से, सर्वर एप्लिकेशन का उपयोग किसी भी URL पर HTTP अनुरोधों को निष्पादित करने के लिए किया जा सकता है जो सर्वर तक पहुंच सकता है।

एक SSRF हमले को करने के लिए XXE भेद्यता का उपयोग करने के लिए, आपको उस URL का उपयोग करके एक बाहरी XML इकाई को परिभाषित करना चाहिए जिसे आप डेटा मान के साथ एक विशिष्ट इकाई का उपयोग और उपयोग करना चाहते हैं। यदि आप एप्लिकेशन प्रतिक्रिया में दिए गए डेटा के मूल्य के साथ एक विशिष्ट इकाई का उपयोग कर सकते हैं, तो आप एप्लिकेशन प्रतिक्रिया में URL से प्रतिक्रिया देख सकते हैं और इस तरह सर्वर सिस्टम के साथ दो-तरफ़ा बातचीत कर सकते हैं। यदि नहीं, तो आप केवल अंधे SSRF हमले कर सकते हैं (जिसके गंभीर परिणाम भी हो सकते हैं)।

एक्सएक्सई का उपयोग करके निम्नलिखित उदाहरण में, एक बाहरी संस्था सर्वर को सिस्टम इन्फ्रास्ट्रक्चर के भीतर आंतरिक सिस्टम के लिए आंतरिक HTTP अनुरोध को निष्पादित करने के लिए मजबूर करती है:

 <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "http://internal.vulnerable-website.com/"> ]> 

SSRF हमले करने के लिए XXE का उपयोग करना:

कई प्रकार की XXE कमजोरियां नेत्रहीन हैं। इसका मतलब यह है कि एप्लिकेशन अपनी प्रतिक्रियाओं में किसी भी विशिष्ट बाहरी संस्थाओं के मूल्य को वापस नहीं करता है, और इसलिए सर्वर साइड पर फाइलों की प्रत्यक्ष खोज असंभव है।

XXE अंधे कमजोरियों का अभी भी पता लगाया जा सकता है और उनका शोषण किया जा सकता है, लेकिन अधिक उन्नत तरीकों की आवश्यकता होती है। कभी-कभी आप कमजोरियों को खोजने के लिए बाहरी तरीकों का उपयोग कर सकते हैं और डेटा का बहिष्कार करने के लिए उनका उपयोग कर सकते हैं। यह कभी-कभी XML पार्सिंग त्रुटियों का कारण बन सकता है, जिसके परिणामस्वरूप त्रुटि संदेशों में संवेदनशील डेटा का खुलासा होता है।

अंधे कमजोरियों की खोज और उपयोग XXE:

XXE इंजेक्शन के साथ हमला करने की क्षमता कई मामलों में स्पष्ट है, क्योंकि एप्लिकेशन के सामान्य HTTP ट्रैफ़िक में XML डेटा वाले अनुरोध शामिल हैं। अन्य मामलों में, हमला करने की क्षमता कम ध्यान देने योग्य है। हालाँकि, यदि आप सही स्थानों पर देखते हैं, तो आपको एक्सएमई में उन प्रश्नों पर हमला करने का अवसर मिलेगा जिनमें एक्सएमएल शामिल नहीं है।

XInclude हमलों

कुछ एप्लिकेशन क्लाइंट द्वारा भेजे गए डेटा को प्राप्त करते हैं, इसे एक एक्सएमएल दस्तावेज़ में सर्वर साइड पर डालें, और फिर इसे पार्स करें। इसका एक उदाहरण है जब क्लाइंट डेटा को SOAP बैकएंड अनुरोध में रखा जाता है, जिसे तब SOAP बैकएंड सेवा द्वारा संसाधित किया जाता है।

इस स्थिति में, आप क्लासिक XXE हमले को नहीं चला सकते क्योंकि आप संपूर्ण XML दस्तावेज़ के नियंत्रण में नहीं हैं और इसलिए DOCTYPE तत्व को निर्धारित या संशोधित नहीं कर सकते। हालाँकि, आप इसके बजाय XInclude का उपयोग कर सकते हैं। XInclude XML विनिर्देशन का हिस्सा है, जो आपको नेस्टेड दस्तावेज़ों से XML दस्तावेज़ बनाने की अनुमति देता है। आप किसी XML दस्तावेज़ में किसी भी डेटा मान पर एक XInclude हमला कर सकते हैं, इसलिए हमला उन स्थितियों में किया जा सकता है जहां आप सर्वर साइड पर XML दस्तावेज़ में रखे गए केवल एक डेटा तत्व का प्रबंधन कर रहे हैं।

XInclude अटैक करने के लिए, आपको XInclude नेमस्पेस को रेफर करना होगा और उस फाइल का पथ निर्दिष्ट करना होगा जिसे आप शामिल करना चाहते हैं। उदाहरण के लिए:

 <foo xmlns:xi="http://www.w3.org/2001/XInclude"> <xi:include parse="text" href="file:///etc/passwd"/></foo> 

कुछ एप्लिकेशन उपयोगकर्ताओं को फ़ाइलों को अपलोड करने की अनुमति देते हैं, जो तब सर्वर साइड पर संसाधित होते हैं। कुछ सामान्य फ़ाइल स्वरूप XML का उपयोग करते हैं या इसमें XML उप-नियंत्रक होते हैं। XML स्वरूपों के उदाहरण DOCX जैसे कार्यालय दस्तावेज़ प्रारूप और SVG जैसे छवि प्रारूप हैं।

उदाहरण के लिए, एक एप्लिकेशन उपयोगकर्ताओं को चित्र अपलोड करने और डाउनलोड करने के बाद सर्वर पर उन्हें सत्यापित करने या उन्हें सत्यापित करने की अनुमति दे सकता है। भले ही अनुप्रयोग PNG या JPEG प्रारूप प्राप्त करने की अपेक्षा करता है, लेकिन उपयोग की जाने वाली छवि प्रसंस्करण लाइब्रेरी SVG छवियों का समर्थन कर सकती है। चूंकि एसवीजी प्रारूप एक्सएमएल का उपयोग करता है, एक हमलावर एक दुर्भावनापूर्ण एसवीजी छवि भेज सकता है और इस तरह एक्सएक्सई कमजोरियों पर हमला करने में सक्षम हो सकता है।

छवि फ़ाइलों को अपलोड करके XXE का उपयोग करना:

अधिकांश POST अनुरोध HTML फॉर्मेट्स जैसे एप्लिकेशन / x-www-form-urlencoded द्वारा बनाए गए डिफ़ॉल्ट सामग्री प्रकार का उपयोग करते हैं। कुछ साइटों को इस प्रारूप में अनुरोध प्राप्त होने की उम्मीद है, लेकिन XML सहित अन्य प्रकार की सामग्री की अनुमति दें।

उदाहरण के लिए, यदि एक नियमित अनुरोध में निम्नलिखित शामिल हैं:

 POST /action HTTP/1.0 Content-Type: application/x-www-form-urlencoded Content-Length: 7 foo=bar         : POST /action HTTP/1.0 Content-Type: text/xml Content-Length: 52 <?xml version="1.0" encoding="UTF-8"?><foo>bar</foo> 

यदि कोई एप्लिकेशन संदेश के शरीर में XML वाले अनुरोधों को स्वीकार करता है और XML के रूप में सामग्री को पार्स करता है, तो आप XML प्रारूप का उपयोग करने के अनुरोधों को सुधार कर केवल XXE पर हमला करने का अवसर प्राप्त कर सकते हैं।

XXE भेद्यता कैसे खोजें और जांचें

XXE भेद्यता के विशाल बहुमत को जल्दी और मज़बूती से बर्प सूट वेब भेद्यता स्कैनर का उपयोग करके पाया जा सकता है।

• XXE कमजोरियों के मैनुअल परीक्षण में आमतौर पर शामिल हैं:
• एक ज्ञात ऑपरेटिंग सिस्टम फ़ाइल के आधार पर बाहरी इकाई को परिभाषित करने और अनुप्रयोग प्रतिक्रिया में दिए गए डेटा में इस ऑब्जेक्ट का उपयोग करके फ़ाइल निष्कर्षण का परीक्षण करना।
• सिस्टम के URL के आधार पर बाहरी इकाई को परिभाषित करने और इस प्रणाली के साथ सहभागिता की निगरानी करके XXE अंधी कमजोरियों का परीक्षण करना। Burp Collaborator क्लाइंट इस उद्देश्य के लिए आदर्श है।
• किसी ज्ञात ऑपरेटिंग सिस्टम फ़ाइल को प्राप्त करने का प्रयास करने के लिए XInclude हमले का उपयोग करते हुए XML सर्वर दस्तावेज़ में गैर-XML उपयोगकर्ता डेटा के कमजोर समावेश के लिए परीक्षण।

XXE भेद्यताओं को कैसे रोकें

लगभग सभी XXE भेद्यताएं इस तथ्य के कारण उत्पन्न होती हैं कि XML एप्लिकेशन पार्सिंग लाइब्रेरी संभावित खतरनाक XML फ़ंक्शन का समर्थन करती है, जिसका उपयोग करने की आवश्यकता नहीं है या उपयोग करने का इरादा नहीं है। XXE हमलों को रोकने का सबसे आसान और सबसे प्रभावी तरीका इन सुविधाओं को अक्षम करना है।

एक नियम के रूप में, बाहरी संस्थाओं के संकल्प को अक्षम करने और XInclude समर्थन को अक्षम करने के लिए पर्याप्त है। यह आमतौर पर कॉन्फ़िगरेशन विकल्पों का उपयोग करके या प्रोग्रामेटिक रूप से डिफ़ॉल्ट व्यवहार को ओवरराइड करके किया जा सकता है। अनावश्यक सुविधाओं को अक्षम करने के बारे में अधिक जानकारी के लिए, XML या API पार्सिंग लाइब्रेरी दस्तावेज़ देखें।

---

आप इस तरह की कमजोरियों का फायदा उठाने के कौशल के परीक्षण के लिए विशेष प्रयोगशालाओं को प्रशिक्षण मैदान के रूप में उपयोग कर सकते हैं।

---

2019 इंटेल स्केलेबल प्रोसेसर के साथ समर्पित सर्वरों के नवीनतम दोहरे प्रोसेसर कॉन्फ़िगरेशन DEDIC.SH पर उपलब्ध हैं:

• 2x Xeon Silver 4214 - कुल 24 कोर
• 2x Xeon Gold 5218 - कुल 32 कोर
• 2x Xeon Gold 6240 - 36 कोर के साथ कॉन्फ़िगरेशन।

152 X rubles / महीने से - दो Xeon Silver 4214 वाले सर्वर की लागत
हम आपके लिए कोई भी कॉन्फ़िगरेशन एकत्र करने के लिए तैयार हैं - हमें लिखें !

यदि एक समर्पित सर्वर की बड़ी शक्तियों की आवश्यकता नहीं है - 150 रूबल / माह से वीडीएस की आवश्यकता है!