XPath Injection

透過使用者輸入來建立的動態 XPath 查詢可讓攻擊者修改指令的意義。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
string acctID = Request["acctID"];
string query = null;
if(acctID != null) {
       StringBuffer sb = new StringBuffer("/accounts/account[acctID='");
       sb.append(acctID);
       sb.append("']/email/text()");
       query = sb.toString();
}

XPathDocument docNav = new XPathDocument(myXml);
XPathNavigator nav = docNav.CreateNavigator();
nav.Evaluate(query);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

識別的方法會呼叫使用未經驗證的輸入所建立的 XPath 查詢。此呼叫可讓攻擊者修改指令的意義或是執行任意的 XPath 查詢。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。




2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下 Objective-C 程式碼會呼叫 C API，以動態方式建構並執行 XPath 查詢，以擷取指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
    NSString *accountStr = account.text;

    xmlXPathContextPtr xpathCtx;
    NSString *query = @"/accounts/account[actId='" + accountStr + @"']/email/text()";

    xpathCtx = xmlXPathNewContext(doc);

    /* Evaluate XPath expression */
    xmlChar *queryString =
        (xmlChar *)[query cStringUsingEncoding:NSUTF8StringEncoding];
    xpathObj = xmlXPathEvalExpression(queryString, xpathCtx);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

透過使用者輸入來建立的動態 XPath 查詢可讓攻擊者修改指令的意義。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

query = "/accounts/account[acctID='" & url.acctID & "']/email/text()";
selectedElements = XmlSearch(myxmldoc, query);

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

識別的方法會呼叫使用未經驗證的輸入所建立的 XPath 查詢。此呼叫可讓攻擊者修改指令的意義或是執行任意的 XPath 查詢。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。




2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
    NSString *accountStr = account.text;

    xmlXPathContextPtr xpathCtx;
    NSString *query = @"/accounts/account[actId='" + accountStr + @"']/email/text()";

    xpathCtx = xmlXPathNewContext(doc);

    /* Evaluate XPath expression */
    xmlChar *queryString =
        (xmlChar *)[query cStringUsingEncoding:NSUTF8StringEncoding];
    xpathObj = xmlXPathEvalExpression(queryString, xpathCtx);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

透過使用者輸入來建立的動態 XPath 查詢可讓攻擊者修改指令的意義。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
<?php
load('articles.xml');
 
$xpath = new DOMXPath($doc);
$emailAddrs = $xpath->query(&quot;/accounts/account[acctID='&quot; . $_GET[&quot;test1&quot;] . &quot;']/email/text()&quot;);
//$arts = $xpath->evaluate(&quot;/accounts/account[acctID='&quot; . $_GET[&quot;test1&quot;] . &quot;']/email/text()&quot;)
 
foreach ($emailAddrs as $email)
{
    echo $email->nodeValue."";
}
	?>
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

透過使用者輸入來建立的動態 XPath 查詢可讓攻擊者修改指令的意義。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
tree = etree.parse('articles.xml')
emailAddrs = "/accounts/account[acctID=" + request.GET["test1"] + "]/email/text()"
r = tree.xpath(emailAddrs)
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。