从XXE到RCE：手把手拆解Vulnhub靶场中那段‘天书’PHP代码的奥秘

从XXE到RCE：解密Vulnhub靶场中那段‘天书’PHP代码的奥秘

在Web安全领域，XXE（XML External Entity）漏洞常被初学者视为简单的文件读取工具，但真正的高手却能将其危害延伸到远程代码执行（RCE）的层面。本文将带您深入剖析Vulnhub靶场中那段看似乱码的PHP代码，揭示其如何通过精妙的混淆技术实现动态函数调用，最终完成从XXE到RCE的华丽转身。

1. XXE漏洞的深度利用基础

XXE漏洞的本质是XML解析器对外部实体的不当处理。典型的利用方式是通过<!ENTITY xxe SYSTEM "file:///etc/passwd">读取服务器文件，但这只是冰山一角。在本次靶场环境中，攻击者通过以下步骤实现了初步渗透：

1. 发现XML传输端点：通过目录扫描发现使用XML传输数据的登录接口
2. 构造恶意实体：利用php://filter/convert.base64-encode/resource=协议读取服务器源码
3. 获取管理员凭证：从admin.php源码中提取硬编码的MD5密码
4. 定位关键文件：通过404错误页面发现flagmeout.php和flag.php的存在

注意：现代PHP版本默认禁用外部实体加载，但许多遗留系统仍使用libxml_disable_entity_loader(false)保持兼容性，这正是XXE漏洞滋生的温床。

2. 天书代码的静态分析

当攻击者通过XXE读取到flag.php时，得到的是一段令人困惑的代码：

$_[]++;$_[]=$_._;$_____=$_[(++$__[])][(++$__[])+(++$__[])+(++$__[])];$_=$_[$_[+_]];$___=$__=$_[++$__[]];$____=$_=$_[+_];$_++;$_++;$_++;$_=$____.++$___.$___.++$_.$__.++$___;$__=$_;$_=$_____;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$_++;$___=+_;$___.=$__;$___=++$_^$___[+_];$Ã=+_;$Ã=$Ã=$Ã=$Ã=$Ã=$Ã=$Ã=$Ã=$Ã=++$Ã[];$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$Ã++;$__('$_="'.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.$___.$Ã.$Ã.$Ã.'"');$__($_);

这段代码运用了多种混淆技术：

3. 动态函数调用的奥秘

这段代码的核心在于动态构建并执行PHP代码。让我们逐步拆解关键部分：

1. 初始化阶段：

   $_[]++; // 创建数组并增加第一个元素 $_[]=$_._; // 添加第二个元素（数组转字符串）

2. 关键函数获取：

   $_____=$_[(++$__[])][(++$__[])+(++$__[])+(++$__[])]; // 等效于获取"create_function"

3. 字符构建技术：

   $_=$____.++$___.$___.++$_.$__.++$___; // 通过递增操作符逐步构建字符串

4. 最终执行：

   $__($_); // 动态执行构建的代码

在PHP 5环境下，这段代码实际等效于：

$func = create_function('', 'system("cat /flag.txt")'); $func();

4. 从理论到实践：完整利用链构建

结合XXE和这段混淆代码，完整的攻击流程如下：

1. 信息收集阶段：

   • 使用nmap扫描发现80端口
   • 通过dirsearch发现robots.txt和敏感路径

2. XXE漏洞利用：

   <!-- 读取admin.php源码 --> <!DOCTYPE xxe [<!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=admin.php">]>

3. 凭证破解：

   • 从源码获取MD5哈希e6e061838856bf47e1de730719fb2609
   • 使用彩虹表破解得到明文密码

4. 获取混淆代码：

   <!-- 读取flag.php内容 --> <!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=flag.php">

5. 代码执行：

   • 在PHP 5环境中执行混淆代码
   • 获取系统命令执行结果

提示：现代PHP环境已移除create_function函数，这也是靶场要求使用PHP 5的原因。在实际渗透测试中，需要根据目标环境调整利用方式。

5. 防御策略与安全启示

面对此类高级攻击手法，防御者需要多层防护：

1. XXE防护：

   • 禁用外部实体加载：libxml_disable_entity_loader(true)
   • 使用白名单验证XML输入

2. 代码混淆防护：

   // 禁用危险函数 disable_functions = "create_function,system,exec"

3. 系统加固：

   • 及时升级PHP版本
   • 使用Suhosin等安全扩展

4. 安全开发实践：

   • 避免硬编码凭证
   • 实施最小权限原则

在靶机环境中，那段看似晦涩的代码实际上展示了攻击者如何通过精心设计的混淆技术绕过基础防护。理解这些技术不仅能提升代码审计能力，更能帮助安全人员构建更完善的防御体系。