hunt-xxe

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

XXE é uma vulnerabilidade de gravidade crítica que consistentemente paga no topo das escalas de bug bounty (US$ 5.000–US$ 30.000+) devido ao seu caminho direto para a exfiltração de dados sensíveis e SSRF. Alvos de maior valor:

• Plataformas empresariais de grande porte com integrações de backend ricas em XML (finanças, logística, APIs de transporte por aplicativo)
• Domínios com capacidade de leitura de arquivos — /etc/passwd, /etc/shadow, arquivos de configuração internos, endpoints de metadados da AWS
• Subdomínios compartilhando infraestrutura de backend — um endpoint XXE pode fazer pivô para serviços internos em dezenas de domínios (como demonstrado por mais de 26 domínios da Uber através de um único ponto de entrada)
• Gateways de API que aceitam tipos de conteúdo XML — especialmente APIs REST que aceitam silenciosamente Content-Type: application/xml
• Recursos de upload de arquivos — parsers SVG, DOCX, XLSX, PDF, PPTX no lado do servidor
• Endpoints SAML/SSO — asserções SAML são baseadas em XML e frequentemente vulneráveis
• Serviços de processamento de Office/documentos — qualquer recurso que converte ou processa documentos fornecidos pelo usuário

Sinais da Superfície de Ataque

Padrões de URL

/api/v*/xml
/upload
/import
/parse
/convert
/saml/acs
/sso/saml
/feed
/rss
/sitemap
/webdav
/soap/*
/wsdl
/service.asmx
/xmlrpc
/graphql (multipart with XML)

Cabeçalhos de Requisição/Resposta

Content-Type: application/xml
Content-Type: text/xml
Content-Type: application/soap+xml
Content-Type: multipart/form-data  ← check file upload fields
Accept: application/xml
X-Content-Type-Options: (absent — good sign of loose parsing)

Padrões de JavaScript (reconhecimento de código-fonte)

// Look for in JS bundles
XMLSerializer
DOMParser
parseFromString
new ActiveXObject("Microsoft.XMLDOM")
$.parseXML(
xml2js
libxmljs
lxml

Sinais de Pilha Tecnológica (Tech Stack)

• Pilhas Java: Spring, Struts, JAX-WS — parsers XML padrão (SAX, DOM) são vulneráveis a XXE sem hardening explícito
• PHP: simplexml_load_string(), DOMDocument::loadXML() — vulnerável por padrão antes do PHP 8
• Python: lxml, xml.etree (seguro por padrão), xml.sax (inseguro)
• Ruby: Nokogiri versões mais antigas, REXML
• Node.js: xml2js, libxmljs, fast-xml-parser (versões mais antigas)
• Serviços WSDL/SOAP: Sempre teste — parsing XML legado virtualmente garantido
• Parsers de arquivos: Apache POI (Java), python-docx, integrações com LibreOffice

Metodologia de Caça Passo a Passo

1. Mapeie todos os pontos de entrada XML — Use o scanner passivo do Burp Suite para sinalizar todas as requisições/respostas com tipos de conteúdo XML. Intercepte também endpoints JSON e troque manualmente Content-Type por application/xml com um corpo XML equivalente.

2. Identifique recursos de upload de arquivos — Faça upload de SVG, DOCX, XLSX e observe se o servidor processa/renderiza o conteúdo. Estes são frequentemente XML internamente.

3. Tente XXE inline (leitura de arquivo clássica) — Substitua o corpo XML por um payload básico de teste de entidade visando /etc/passwd ou C:\Windows\win.ini. Observe se o valor é refletido na resposta.

4. Se não houver reflexão, faça pivô para Blind OOB — Configure um listener OOB (Burp Collaborator, interactsh ou um servidor netcat auto-hospedado). Injete uma entidade externa apontando para seu URL de callback. Confirme o hit de DNS/HTTP para validar que o parser está fazendo conexões de saída.

5. Escalone Blind OOB para exfiltração de arquivos — Use um payload de dois estágios: a primeira entidade carrega o arquivo local, a segunda entidade o envia via OOB através de um parâmetro HTTP ou exfiltração de DNS.

6. Teste o pivô SSRF — Aponte a entidade externa para endereços da rede interna (http://169.254.169.254/latest/meta-data/, http://10.0.0.1/, http://localhost:8080/admin). Procure por diferenças no tempo de resposta ou mensagens de erro.

…