A estas alturas ya todos sabéis que XML External Entity Injection (también conocido como XXE) es una vulnerabilidad web que permite que un atacante interfiera en el procesamiento de datos XML de una aplicación. Puede permitir ver archivos del sistema o del servidor de aplicaciones e interactuar con cualquier sistema externo al que pueda acceder la propia aplicación.

En algunas situaciones, podemos usar un ataque XXE para comprometer el servidor subyacente u otra infraestructura de back-end, al aprovecharlo para realizar ataques SSRF (Server-Side Request Forgery).

Hay varios tipos de ataques XXE:

• Explotar XXE para recuperar archivos: Cuando se define una entidad externa que contiene el contenido de un archivo y se devuelve en la respuesta de la aplicación.
• Explotar XXE para realizar ataques SSRF: donde se define una entidad externa basada en una URL o un sistema de backend.
• Explotar Blind XXE para exfiltrar datos Out-of-Band: Cuando datos sensibles se transmiten desde el servidor de aplicaciones a un sistema que controla el atacante.
• Explotación de XXE ciego para recuperar datos mediante mensajes de error: donde el atacante puede usar un mensaje de error para obtener datos confidenciales.

Payloads: https://www.hackplayers.com/2019/12/lista-de-payloads-para-inyecciones-xxe.html


Referencias:

• XML External Entity (XXE) Processing
• XML External Entity Prevention Cheat Sheet
• Testing for XML Injection (OTG-INPVAL-008)

Fuente: Hackplayers