1. 引言

XPath簡介

XPath,全稱為XML Path Language,是一種用于在XML文檔中查詢和導航的語言。它允許我們在XML文檔的樹狀結構中進行遍歷,以找到特定的節點或值。想象一下,如果XML文檔是一本書,那么XPath就是這本書的目錄,幫助我們快速找到我們需要的信息。

XPath注入的定義

XPath注入是一種安全漏洞,攻擊者通過在應用程序的輸入中插入惡意的XPath查詢,來操縱原本的XPath查詢邏輯,從而獲取未經授權的信息或執行未經授權的操作。這種攻擊方式與大家可能更熟悉的SQL注入類似,但目標是使用XPath查詢的XML數據庫或XML文檔。

2. XPath基礎知識

在深入了解XPath注入之前,我們需要先掌握一些XPath的基礎知識。

XPath語法簡介

XPath使用路徑表達式來選擇XML文檔中的節點或節點集。以下是一些基本的XPath語法:

選擇節點:

/ : 從根節點選擇

// : 從當前節點選擇文檔中的節點,而不考慮它們的位置

謂語(Predicates):

用方括號 [] 來查找特定節點或包含特定值的節點

通配符:

* : 匹配任何元素節點

@* : 匹配任何屬性節點

選擇多個路徑:

| : 用于選擇多個路徑

示例XML:

<?xml version="1.0" encoding="UTF-8"?>
<bookstore>
  <book category="cooking">
    <title>Everyday Italian</title>
    <author>Giada De Laurentiis</author>
    <year>2005</year>
    <price>30.00</price>
  </book>
  <book category="children">
    <title>Harry Potter</title>
    <author>J K. Rowling</author>
    <year>2005</year>
    <price>29.99</price>
  </book>
</bookstore>

XPath查詢示例:

選擇所有book元素: //book

選擇所有title元素: //title

選擇category屬性為"cooking"的book元素: //book[@category="cooking"]

選擇價格大于30的書: //book[price>30]

3. XPath注入原理

3.1 注入點

注入點是指應用程序中可能被攻擊者利用來插入惡意XPath查詢的位置:

用戶輸入字段: 如登錄表單、搜索框或其他允許用戶輸入的界面。

URL參數: 網頁URL中的查詢參數可能被直接用于構造XPath查詢。

HTTP頭: 某些應用可能使用HTTP頭信息(如User-Agent)來構造XPath查詢。

Cookie值: 存儲在Cookie中的數據有時會被用于XPath查詢。

3.2 XPath注入的基本原理

XPath注入的核心原理是通過巧妙構造輸入,改變原有XPath查詢的語義或結構:

識別漏洞: 攻擊者首先需要確定應用程序是否使用XPath,以及用戶輸入如何被整合到XPath查詢中。

構造惡意輸入: 攻擊者創建特制的輸入,這些輸入包含XPath語法元素。

修改查詢邏輯: 惡意輸入被整合到原始查詢中,改變了查詢的預期行為。

執行非預期操作: 修改后的查詢可能會返回未經授權的數據,或執行其他非預期操作。

3.3 示例攻擊場景

通過例子來說明XPath注入:

假設有一個簡單的登錄系統,使用以下XML存儲用戶信息:

<?xml version="1.0" encoding="UTF-8"?>
<users>
  <user>
    <username>alice</username>
    <password>securepass123</password>
    <role>user</role>
  </user>
  <user>
    <username>bob</username>
    <password>bobpass456</password>
    <role>admin</role>
  </user>
</users>

應用程序使用以下XPath查詢來驗證用戶登錄:

string(//user[username/text()='" + username + "' and password/text()='" + password + "']/role/text())

這個查詢本意是檢查提供的用戶名和密碼是否匹配,如果匹配則返回用戶角色。

攻擊示例:

攻擊者可能會輸入以下內容:

用戶名: ' or '1'='1

密碼: ' or '1'='1

這將導致XPath查詢變為:

string(//user[username/text()='' or '1'='1' and password/text()='' or '1'='1']/role/text())

這個查詢會始終返回true,因為'1'='1'永遠成立。結果,攻擊者可能會獲得系統中第一個用戶的角色信息,甚至可能直接以管理員身份登錄。

3.4 高級注入技術

除了上述基本的注入技術,還存在一些更復雜的XPath注入方法:

盲注(Blind Injection):

當應用程序不直接返回查詢結果時,攻擊者可以通過構造一系列布爾條件來逐步推斷出信息。

例如: ' or substring((//user[position()=1]/username),1,1)='a

這個查詢檢查第一個用戶的用戶名是否以'a'開頭。攻擊者可以逐字符猜測用戶名。

使用XPath函數:

XPath提供了許多函數,攻擊者可以利用這些函數來獲取更多信息。

例如: ' or count(//user)>0 and '1'='1

這個查詢可以用來確定用戶數量。

利用XPath軸:

XPath的軸概念允許攻擊者在XML文檔中進行復雜的導航。

例如: ' or name(parent::*)='users' and '1'='1

這個查詢可以用來確認父元素的名稱。

4. XPath注入的危害

XPath注入可能導致以下主要危害:

數據泄露: 未經授權訪問敏感信息。

權限提升: 攻擊者可能獲得更高級別的系統權限。

系統破壞: 可能導致數據被修改或刪除。

5. XPath注入的常見類型

XPath注入有多種類型,每種類型都有其特定的特征和利用方法。讓我們詳細探討三種最常見的XPath注入類型。

5.1 盲注（Blind Injection）

盲注是一種在應用程序不直接返回查詢結果的情況下進行的注入技術。

原理:

攻擊者通過構造一系列布爾條件來逐步推斷出信息。應用程序的行為（如登錄成功或失敗）作為判斷條件是否為真的依據。

示例:

假設有一個登錄頁面,不直接顯示錯誤信息,只顯示登錄成功或失敗。

攻擊者可能會使用如下查詢:

or substring((//user[position()=1]/username),1,1)='a

這個查詢檢查第一個用戶的用戶名是否以'a'開頭。如果登錄成功,說明條件為真。

攻擊過程:

攻擊者首先確定用戶數量。

然后逐個字符猜測用戶名和密碼。

通過系統的反應（登錄成功或失敗）來確認猜測是否正確。

防御:

使用參數化查詢。

實施請求頻率限制。

5.2 報錯注入（Error-based Injection）

報錯注入利用應用程序返回的錯誤信息來獲取數據庫結構和內容的信息。

原理:

當XPath查詢出錯時,應用程序可能會返回包含錯誤詳情的信息。攻擊者利用這些信息來推斷XML結構和內容。

示例:

假設應用程序使用以下查詢:

string(//user[username/text()='" + username + "' and password/text()='" + password + "']/role/text())

攻擊者可能輸入:

' or string-length(name(/*[1]))>0 or '

如果應用程序返回錯誤信息,可能會泄露XML根元素的名稱長度。

攻擊過程:

攻擊者構造導致錯誤的查詢。

分析錯誤消息中的信息。

根據獲得的信息,逐步構建更復雜的查詢以獲取更多數據。

防御:

禁用詳細的錯誤信息。

實現自定義錯誤處理,避免直接顯示XPath錯誤。

5.3 聯合查詢注入（Union Query Injection）

聯合查詢注入通過UNION操作符將攻擊者的查詢與原始查詢合并。

原理:

攻擊者使用UNION關鍵字將額外的查詢結果附加到原始查詢結果中。

示例:

假設原始查詢為:

//book[author/text()='" + author + "']

攻擊者可能輸入:

'] | //user | //book['

結果查詢變為:

//book[author/text()=''] | //user | //book['']

這將返回所有書籍、用戶信息和另一組書籍。

攻擊過程:

攻擊者首先確定原始查詢的結構。

構造一個UNION查詢,返回額外的數據。

分析返回結果,獲取未經授權的信息。

7. XPath注入與SQL注入的對比

XPath注入和SQL注入都是常見的Web應用程序攻擊方式,它們有一些相似之處,但也存在區別。

7.1 相似之處

攻擊原理:

兩種攻擊都利用了應用程序對用戶輸入的不當處理。

都通過注入惡意代碼來改變原始查詢的語義。

危害:

都可能導致未授權訪問、數據泄露和數據篡改。

可能導致權限提升,允許攻擊者獲得更高級別的系統訪問權限。

7.2 不同之處

目標數據存儲:

SQL注入針對關系型數據庫(如MySQL, Oracle)。

XPath注入針對XML數據存儲或XML文檔。

查詢語言:

SQL注入利用SQL語言的特性。

XPath注入利用XPath表達式的特性。

數據結構:

SQL操作的是表格式數據。

XPath操作的是樹狀結構的XML數據。

功能范圍:

SQL注入通常可以執行更廣泛的操作,包括數據修改和系統命令執行。

XPath注入主要限于數據檢索,通常不能直接修改數據或執行系統命令。

總結

XPath注入雖然不如SQL注入那樣廣為人知,但其潛在危害不容忽視。本文探討了這種攻擊方式的原理、類型、危害以及防御措施。

作者：大鯨魚crush

鏈接：https://juejin.cn/post/7384327143784923187

來源：稀土掘金

著作權歸作者所有。商業轉載請聯系作者獲得授權，非商業轉載請注明出處。