XQuery Injection

XQuery injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料以動態方式建構 XQuery 運算式。

範例 1：以下程式碼動態建構並執行可擷取指定使用者名稱和密碼組合的使用者帳戶之 XQuery 運算式。使用者名稱和密碼是從 HTTP 要求讀取，因此不受信賴。

  ...

  String squery = "for \$user in doc(users.xml)//user[username='" + Request["username"] + "'and pass='" + Request["password"] + "'] return \$user";

  Processor processor = new Processor();

  XdmNode indoc = processor.NewDocumentBuilder().Build(new Uri(Server.MapPath("users.xml")));

  StreamReader query = new StreamReader(squery);
  XQueryCompiler compiler = processor.NewXQueryCompiler();
  XQueryExecutable exp = compiler.Compile(query.ReadToEnd());
  XQueryEvaluator eval = exp.Load();
  eval.ContextItem = indoc;

  Serializer qout = new Serializer();
  qout.SetOutputProperty(Serializer.METHOD, "xml");
  qout.SetOutputProperty(Serializer.DOCTYPE_PUBLIC, "-//W3C//DTD XHTML 1.0 Strict//EN");
  qout.SetOutputProperty(Serializer.DOCTYPE_SYSTEM, "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd");
  qout.SetOutputProperty(Serializer.INDENT, "yes");
  qout.SetOutputProperty(Serializer.OMIT_XML_DECLARATION, "no");

  qout.SetOutputWriter(Response.Output);
  eval.Run(qout);

  ...
  

正常情況下，例如以適當的使用者名稱和密碼搜尋使用者帳戶，該程式碼執行的運算式如下所示：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由於這個運算式是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 username 或 password 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 username 輸入字串 admin' or 1=1 or ''='，那麼查詢將會變更為：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

附加條件 admin' or 1=1 or ''=' 會使 XQuery 運算式的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//user[username='admin']

查詢必須符合密碼，但查詢的簡化使攻擊者不再受到此要求所限制；因此，查詢現在會傳回儲存在文件中的管理員使用者，而不再考慮輸入的密碼為何。

XQuery injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料以動態方式建構 XQuery 運算式。

範例 1：以下程式碼動態建構並執行可擷取指定使用者名稱和密碼組合的使用者帳戶之 XQuery 運算式。使用者名稱和密碼是從 HTTP 要求讀取，因此不受信賴。

...

$memstor = InMemoryStore::getInstance();
$z = Zorba::getInstance($memstor);

try {
  // get data manager
  $dataman = $z->getXmlDataManager();

  // load external XML document
  $dataman->loadDocument('users.xml', file_get_contents('users.xml'));

  // create and compile query
  $express =
"for \$user in doc(users.xml)//user[username='" . $_GET["username"] . "'and pass='" . $_GET["password"] . "'] return \$user"

  $query = $zorba->compileQuery($express);

  // execute query
  $result = $query->execute();



?>
...

正常情況下，例如以適當的使用者名稱和密碼搜尋使用者帳戶，該程式碼執行的運算式如下所示：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由於這個運算式是串聯固定查詢字串和使用者輸入字串所動態建構而成的，因此只有在 username 或 password 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 username 輸入字串 admin' or 1=1 or ''='，那麼查詢將會變更為：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

附加條件 admin' or 1=1 or ''=' 會使 XQuery 運算式的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//user[username='admin']

查詢必須符合密碼，但查詢的簡化使攻擊者不再受到此要求所限制；因此，查詢現在會傳回儲存在文件中的管理員使用者，而不再考慮輸入的密碼為何。