Vulnérabilité XXE par Cyril Ceresola

Conférence donnée à la Cantine de Toulon le 9 décembre 2014

Transcript

1. Vulnérabilité XXE @cceresola
2. XML everywhere… Dans les Web browser engine WIKIPEDIA “A web browser engine (sometimes called layout engine or rendering engine) is a software component that takes marked up content (such as HTML, XML, image files, etc.) and formatting information (such as CSS, XSL, etc.) and displays the formatted content on the screen “
3. XML everywhere… Dans les WebApps - pour transporter des données (webservices) - RPC (Remote Procedure Call) - fichiers
4. XML everywhere…
5. XML (http://www.w3schools.com/xml/xml_dtd.asp)
6. XML (http://www.w3schools.com/xml/xml_dtd.asp)
7. XML et les entités XML autorise les entités personnalisées
8. Mutillidae https://www.owasp.org/index.php/OWASP_Mutillidae_2_Project
9. XML entités personnalisées
10. XML entités personnalisées
11. XML eXternal Entities
12. XML eXternal Entities Serveur web + OS mal configurés Accès au filesystem (R)
13. XML eXternal Entities Serveur web + OS mal configurés Accès au filesystem (R)
14. XML Default schemes Source : Thimoty D. Mogan - @ecbftw
15. XXE : prise d’information
16. XXE: scan TCP local Port local ouvert Port local fermé
17. XXE: en aveugle En aveugle, utilisation d’un serveur web contrôlé par l’attaquant pour récupérer les réponses (uniquement si le flux sortant est autorisé par le(s) firewall(s))
18. XXE: en aveugle, exfiltration
19. XXE: scan TCP local with BURPS
20. XML eXternal Entities
21. XXE: scan TCP du sous-réseau
22. XXE: scan TCP du sous-réseau BINGO
23. XXE: scan de port mappage et rebond http://adresseIP:port Possibilité d’attaquer d’autres backends via URL (injection, path traversal,…) ….mais ceci est une autre histoire.
24. XXE : billion LOL attack CODE < 1 ko => 3 Go en mémoire => Deni de service (DoS)
25. XXE : Google (2014) Source: http://blog.detectify.com/post/82370846588/how-we-got-read-access-on-googles-production#
26. XXE : Sharepoint (2011)
27. XXE : prevenir https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Processing
28. Biblio www.vsecurity.com/download/papers/XMLDTDEntityAttacks.pdf
29. Merci de votre attention @cceresola