XQuery Injection

사용자 입력을 받아 동적으로 XQuery 식을 생성하면 공격자가 해당 문의 의미를 수정할 수 있습니다.

XQuery injection은 다음 경우에 발생합니다.

1. 신뢰할 수 없는 소스에서 데이터가 프로그램에 입력됩니다.



2. 이러한 데이터를 사용하여 XQuery 식을 동적으로 생성합니다.

예제 1: 다음 코드는 지정한 사용자 이름 및 암호 조합과 일치하는 사용자 계정을 검색하기 위한 XQuery 식을 동적으로 생성하고 실행합니다. 사용자 이름과 암호는 HTTP 요청에서 읽어들이므로 신뢰할 수 없습니다.

  ...

  String squery = "for \$user in doc(users.xml)//user[username='" + Request["username"] + "'and pass='" + Request["password"] + "'] return \$user";

  Processor processor = new Processor();

  XdmNode indoc = processor.NewDocumentBuilder().Build(new Uri(Server.MapPath("users.xml")));

  StreamReader query = new StreamReader(squery);
  XQueryCompiler compiler = processor.NewXQueryCompiler();
  XQueryExecutable exp = compiler.Compile(query.ReadToEnd());
  XQueryEvaluator eval = exp.Load();
  eval.ContextItem = indoc;

  Serializer qout = new Serializer();
  qout.SetOutputProperty(Serializer.METHOD, "xml");
  qout.SetOutputProperty(Serializer.DOCTYPE_PUBLIC, "-//W3C//DTD XHTML 1.0 Strict//EN");
  qout.SetOutputProperty(Serializer.DOCTYPE_SYSTEM, "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd");
  qout.SetOutputProperty(Serializer.INDENT, "yes");
  qout.SetOutputProperty(Serializer.OMIT_XML_DECLARATION, "no");

  qout.SetOutputWriter(Response.Output);
  eval.Run(qout);

  ...
  

해당 사용자 이름 및 암호와 일치하는 사용자 계정을 검색하는 등의 일반적인 조건에서 이 코드가 실행하는 식은 다음과 유사합니다.

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

하지만 상수인 기본 쿼리 문자열과 사용자 입력 문자열을 연결하여 식을 동적으로 생성하기 때문에, 쿼리는 username 또는 password 에 작은따옴표가 들어 있지 않은 경우에만 올바로 작동합니다. 공격자가 username에 admin' or 1=1 or ''=' 문자열을 입력하면 쿼리는 다음과 같습니다.

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$useradmin' or 1=1 or ''=' 조건을 추가하면 XQuery 식이 항상 true로 평가되기 때문에 쿼리는 훨씬 간단한 다음 쿼리와 논리적으로 동일하게 됩니다.

//user[username='admin']

이렇게 쿼리를 단순화할 경우 공격자는 쿼리가 암호와 일치해야 한다는 요구 사항을 우회할 수 있습니다. 이제 쿼리는 입력된 암호에 관계없이 문서에 저장된 admin 사용자를 반환합니다.

사용자 입력을 받아 동적으로 XQuery 식을 생성하면 공격자가 해당 문의 의미를 수정할 수 있습니다.

XQuery injection은 다음 경우에 발생합니다.

1. 신뢰할 수 없는 소스에서 데이터가 프로그램에 입력됩니다.



2. 데이터를 사용하여 XQuery 식을 동적으로 구성합니다.

예제 1: 다음 코드는 지정한 사용자 이름 및 암호 조합과 일치하는 사용자 계정을 검색하기 위한 XQuery 식을 동적으로 생성하고 실행합니다. 사용자 이름과 암호는 HTTP 요청에서 읽어들이므로 신뢰할 수 없습니다.

...

$memstor = InMemoryStore::getInstance();
$z = Zorba::getInstance($memstor);

try {
  // get data manager
  $dataman = $z->getXmlDataManager();

  // load external XML document
  $dataman->loadDocument('users.xml', file_get_contents('users.xml'));

  // create and compile query
  $express =
"for \$user in doc(users.xml)//user[username='" . $_GET["username"] . "'and pass='" . $_GET["password"] . "'] return \$user"

  $query = $zorba->compileQuery($express);

  // execute query
  $result = $query->execute();



?>
...

해당 사용자 이름 및 암호와 일치하는 사용자 계정을 검색하는 등의 일반적인 조건에서 이 코드가 실행하는 식은 다음과 유사합니다.

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

하지만 상수 쿼리 문자열과 사용자 입력 문자열을 연결하여 식을 동적으로 생성하기 때문에, 쿼리는 username 또는 password에 작은따옴표가 들어 있지 않은 경우에만 올바로 작동합니다. 공격자가 username에 admin' or 1=1 or ''=' 문자열을 입력하면 쿼리는 다음과 같습니다.

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$useradmin' or 1=1 or ''=' 조건을 추가하면 XQuery 식이 항상 true로 평가되기 때문에 쿼리는 훨씬 간단한 다음 쿼리와 논리적으로 동일하게 됩니다.

//user[username='admin']

이렇게 쿼리를 단순화할 경우 공격자는 쿼리가 암호와 일치해야 한다는 요구 사항을 우회할 수 있습니다. 이제 쿼리는 입력된 암호에 관계없이 문서에 저장된 admin 사용자를 반환합니다.