XXE (XML External Entity) saldırısı nedir?

Kısa cevap

XXE (XML External Entity) saldırısı, XML belgesinin DOCTYPE bölümünde tanımlanan external entity'leri çözen parser'ları kötüye kullanarak sunucudaki yerel dosyaları okumayı, sunucuya iç ağdaki servislere istek yaptırmayı ya da iç içe entity genişlemesiyle parser'ı hizmet dışı bırakmayı hedefler; XML kabul eden ve parser'ında DTD ile external entity işleme açık olan uygulamalarda ortaya çıkar (CWE-611). TR7 WAF'ta yerleşik Signature & Rule Library'nin XML External Entity kategorisi (69 kural) bu kalıpları arar; XML gövdeler ayrıca sayfa tiplerinin Xml denetimleriyle sınırlanır. Kalıcı önlem, Kurum Servisindeki XML parser'ında DTD ve external entity işlemenin kapatılmasıdır (OWASP XXE Prevention).

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Configuration Menu → WAF → Signature & Rule Library; vService'in OWASP Rules ekranı	Signature Category kolonu (varsayılan gizli); Filter → Signature Categories → XML External Entity	Kategorideki kuralları listeleme; durumunu ya da puanını değiştirme
vService → WAF Management → WAF Rules → sayfa tipi → Xml sekmesi	Block Invalid XML Contents, Block All XML Contents, XML Depth ve diğer Xml sınırları	Çözümlenemeyen ya da beklenmeyen XML gövdeleri engelleme, yapıyı sınırlama
WAF Event Logs ve Global WAF Event Log	Category kolonu (varsayılan gizli), filtre şeridinde Category sekmesi, kayıt önizlemesinde Category satırı	İsteğin bu kategorideki bir imzaya takıldığını görme
WAF Dashboard	Detected Attacks by Category paneli	Kategorideki tespitlerin zaman içindeki yoğunluğu

• TR7'nin XML gövdeleri nasıl ayrıştırıp taradığı, DOCTYPE taşıyan isteklerin nasıl ele alındığı ve SOAP servisleri için yapılandırma adımları: SOAP / XML servislerimi koruyabilir miyim; XXE saldırılarına karşı koruma var mı?
• Kategori, OWASP Top 10 Web'de çoğunlukla A05:2021 (Security Misconfiguration) maddesiyle eşlenir.

Sık Karıştırılan Noktalar

• "XXE yalnızca SOAP servislerini etkiler." XML gövdesi ya da XML tabanlı dosya (SVG, DOCX gibi) kabul eden her uygulama etkilenebilir; kategorinin imzaları XML ve ham gövdenin yanı sıra query ve form değerlerinde de çalışır.
• "WAF varsa parser ayarına gerek yoktur." WAF bilinen kalıpları istek düzeyinde yakalar; açığı kapatan, parser'da DTD ve external entity işlemenin kapatılmasıdır.
• "XXE yalnızca dosya okumaya yarar." Aynı teknik sunucuya iç ağdaki adreslere istek yaptırmak (SSRF) ve iç içe entity genişlemesiyle kaynak tüketmek için de kullanılır.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Signature Categories
• Xml · Block Invalid XML Contents
• Event Logs · Filtrelenebilir bilgiler

İlgili sorular

• SOAP / XML servislerimi koruyabilir miyim; XXE saldırılarına karşı koruma var mı?
• SSRF (Server-Side Request Forgery) nedir?
• Application DoS nedir; volumetric DDoS'tan farkı ne?