XQuery Injection

A construção de uma expressão XQuery dinâmica com uma entrada de usuário pode permitir que um invasor modifique o significado da instrução.

Uma injeção de XQuery ocorre quando:

1. Os dados entram em um programa por uma fonte não confiável.



2. Os dados utilizados para construir dinamicamente uma expressão XQuery.

Exemplo 1: O código a seguir constrói e executa dinamicamente uma expressão XQuery que recupera uma conta de usuário para uma determinada combinação de nome de usuário e senha. O nome de usuário e a senha são lidos de uma solicitação HTTP e, portanto, não são confiáveis.

  ...

  String squery = "for \$user in doc(users.xml)//user[username='" + Request["username"] + "'and pass='" + Request["password"] + "'] return \$user";

  Processor processor = new Processor();

  XdmNode indoc = processor.NewDocumentBuilder().Build(new Uri(Server.MapPath("users.xml")));

  StreamReader query = new StreamReader(squery);
  XQueryCompiler compiler = processor.NewXQueryCompiler();
  XQueryExecutable exp = compiler.Compile(query.ReadToEnd());
  XQueryEvaluator eval = exp.Load();
  eval.ContextItem = indoc;

  Serializer qout = new Serializer();
  qout.SetOutputProperty(Serializer.METHOD, "xml");
  qout.SetOutputProperty(Serializer.DOCTYPE_PUBLIC, "-//W3C//DTD XHTML 1.0 Strict//EN");
  qout.SetOutputProperty(Serializer.DOCTYPE_SYSTEM, "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd");
  qout.SetOutputProperty(Serializer.INDENT, "yes");
  qout.SetOutputProperty(Serializer.OMIT_XML_DECLARATION, "no");

  qout.SetOutputWriter(Response.Output);
  eval.Run(qout);

  ...
  

Em condições normais, tais como ao procurar uma conta de usuário com o nome de usuário e a senha apropriados, a expressão que esse código executa terá a seguinte aparência:

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

No entanto, como a expressão é construída dinamicamente por meio da concatenação de uma cadeia de consulta base constante e de uma cadeia de entrada do usuário, ela se comportará corretamente somente se username ou password não contiver um caractere de aspas simples. Se um invasor inserir a string admin' or 1=1 or ''=' para username, a consulta se tornará a seguinte:

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

A adição da condição admin' or 1=1 or ''=' faz com que a expressão XQuery sempre seja avaliada como "true" e, portanto, a consulta torna-se logicamente equivalente à seguinte consulta muito mais simples:

//user[username='admin']

Essa simplificação da consulta permite que o invasor ignore a exigência de que a consulta deva corresponder à senha. Agora, ela retorna o usuário administrador armazenado no documento, independentemente da senha inserida.

A construção de uma expressão XQuery dinâmica com uma entrada de usuário pode permitir que um invasor modifique o significado da instrução.

Uma injeção de XQuery ocorre quando:

1. Os dados entram em um programa por uma fonte não confiável.



2. Os dados são usados para construir dinamicamente uma consulta XQuery.

Exemplo 1: O código a seguir constrói e executa dinamicamente uma expressão XQuery que recupera uma conta de usuário para uma determinada combinação de nome de usuário e senha. O nome de usuário e a senha são lidos de uma solicitação HTTP e, portanto, não são confiáveis.

...

$memstor = InMemoryStore::getInstance();
$z = Zorba::getInstance($memstor);

try {
  // get data manager
  $dataman = $z->getXmlDataManager();

  // load external XML document
  $dataman->loadDocument('users.xml', file_get_contents('users.xml'));

  // create and compile query
  $express =
"for \$user in doc(users.xml)//user[username='" . $_GET["username"] . "'and pass='" . $_GET["password"] . "'] return \$user"

  $query = $zorba->compileQuery($express);

  // execute query
  $result = $query->execute();



?>
...

Em condições normais, tais como ao procurar uma conta de usuário com o nome de usuário e a senha apropriados, a expressão que esse código executa terá a seguinte aparência:

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

No entanto, como a expressão é construída dinamicamente pela concatenação de uma cadeia de caracteres de consulta constante e uma cadeia de caracteres de entrada de usuário, a consulta só se comportará corretamente se username ou password não tiver um caractere de aspas simples. Se um invasor inserir a string admin' or 1=1 or ''=' para username, a consulta se tornará a seguinte:

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

A adição da condição admin' or 1=1 or ''=' faz com que a expressão XQuery sempre seja avaliada como "true" e, portanto, a consulta torna-se logicamente equivalente à seguinte consulta muito mais simples:

//user[username='admin']

Essa simplificação da consulta permite que o invasor ignore a exigência de que a consulta deve corresponder à senha. Agora, ela retorna o usuário administrador armazenado no documento, independentemente da senha inserida.