XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
string acctID = Request["acctID"];
string query = null;
if(acctID != null) {
       StringBuffer sb = new StringBuffer("/accounts/account[acctID='");
       sb.append(acctID);
       sb.append("']/email/text()");
       query = sb.toString();
}

XPathDocument docNav = new XPathDocument(myXml);
XPathNavigator nav = docNav.CreateNavigator();
nav.Evaluate(query);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。




2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下 Objective-C 程式碼會呼叫 C API，以動態方式建構並執行 XPath 查詢，以擷取指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
    NSString *accountStr = account.text;

    xmlXPathContextPtr xpathCtx;
    NSString *query = @"/accounts/account[actId='" + accountStr + @"']/email/text()";

    xpathCtx = xmlXPathNewContext(doc);

    /* Evaluate XPath expression */
    xmlChar *queryString =
        (xmlChar *)[query cStringUsingEncoding:NSUTF8StringEncoding];
    xpathObj = xmlXPathEvalExpression(queryString, xpathCtx);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

query = "/accounts/account[acctID='" & url.acctID & "']/email/text()";
selectedElements = XmlSearch(myxmldoc, query);

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。




2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
    NSString *accountStr = account.text;

    xmlXPathContextPtr xpathCtx;
    NSString *query = @"/accounts/account[actId='" + accountStr + @"']/email/text()";

    xpathCtx = xmlXPathNewContext(doc);

    /* Evaluate XPath expression */
    xmlChar *queryString =
        (xmlChar *)[query cStringUsingEncoding:NSUTF8StringEncoding];
    xpathObj = xmlXPathEvalExpression(queryString, xpathCtx);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
<?php
load('articles.xml');
 
$xpath = new DOMXPath($doc);
$emailAddrs = $xpath->query(&quot;/accounts/account[acctID='&quot; . $_GET[&quot;test1&quot;] . &quot;']/email/text()&quot;);
//$arts = $xpath->evaluate(&quot;/accounts/account[acctID='&quot; . $_GET[&quot;test1&quot;] . &quot;']/email/text()&quot;)
 
foreach ($emailAddrs as $email)
{
    echo $email->nodeValue."";
}
	?>
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
tree = etree.parse('articles.xml')
emailAddrs = "/accounts/account[acctID=" + request.GET["test1"] + "]/email/text()"
r = tree.xpath(emailAddrs)
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XQuery injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料以動態方式建構 XQuery 運算式。

範例 1：以下程式碼動態建構並執行可擷取指定使用者名稱和密碼組合的使用者帳戶之 XQuery 運算式。使用者名稱和密碼是從 HTTP 要求讀取，因此不受信賴。

  ...

  String squery = "for \$user in doc(users.xml)//user[username='" + Request["username"] + "'and pass='" + Request["password"] + "'] return \$user";

  Processor processor = new Processor();

  XdmNode indoc = processor.NewDocumentBuilder().Build(new Uri(Server.MapPath("users.xml")));

  StreamReader query = new StreamReader(squery);
  XQueryCompiler compiler = processor.NewXQueryCompiler();
  XQueryExecutable exp = compiler.Compile(query.ReadToEnd());
  XQueryEvaluator eval = exp.Load();
  eval.ContextItem = indoc;

  Serializer qout = new Serializer();
  qout.SetOutputProperty(Serializer.METHOD, "xml");
  qout.SetOutputProperty(Serializer.DOCTYPE_PUBLIC, "-//W3C//DTD XHTML 1.0 Strict//EN");
  qout.SetOutputProperty(Serializer.DOCTYPE_SYSTEM, "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd");
  qout.SetOutputProperty(Serializer.INDENT, "yes");
  qout.SetOutputProperty(Serializer.OMIT_XML_DECLARATION, "no");

  qout.SetOutputWriter(Response.Output);
  eval.Run(qout);

  ...
  

正常情況下，例如以適當的使用者名稱和密碼搜尋使用者帳戶，該程式碼執行的運算式如下所示：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由於這個運算式是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 username 或 password 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 username 輸入字串 admin' or 1=1 or ''='，那麼查詢將會變更為：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

附加條件 admin' or 1=1 or ''=' 會使 XQuery 運算式的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//user[username='admin']

查詢必須符合密碼，但查詢的簡化使攻擊者不再受到此要求所限制；因此，查詢現在會傳回儲存在文件中的管理員使用者，而不再考慮輸入的密碼為何。

XQuery injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料以動態方式建構 XQuery 運算式。

範例 1：以下程式碼動態建構並執行可擷取指定使用者名稱和密碼組合的使用者帳戶之 XQuery 運算式。使用者名稱和密碼是從 HTTP 要求讀取，因此不受信賴。

...

$memstor = InMemoryStore::getInstance();
$z = Zorba::getInstance($memstor);

try {
  // get data manager
  $dataman = $z->getXmlDataManager();

  // load external XML document
  $dataman->loadDocument('users.xml', file_get_contents('users.xml'));

  // create and compile query
  $express =
"for \$user in doc(users.xml)//user[username='" . $_GET["username"] . "'and pass='" . $_GET["password"] . "'] return \$user"

  $query = $zorba->compileQuery($express);

  // execute query
  $result = $query->execute();



?>
...

正常情況下，例如以適當的使用者名稱和密碼搜尋使用者帳戶，該程式碼執行的運算式如下所示：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由於這個運算式是串聯固定查詢字串和使用者輸入字串所動態建構而成的，因此只有在 username 或 password 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 username 輸入字串 admin' or 1=1 or ''='，那麼查詢將會變更為：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

附加條件 admin' or 1=1 or ''=' 會使 XQuery 運算式的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//user[username='admin']

查詢必須符合密碼，但查詢的簡化使攻擊者不再受到此要求所限制；因此，查詢現在會傳回儲存在文件中的管理員使用者，而不再考慮輸入的密碼為何。

XSLT injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XSL 樣式表。


應用程式一般會使用 XSL 樣式表將 XML 文件從一種格式轉換為另一種格式。XSL 樣式表包括特殊函數，函數可強化轉換過程，但若使用不當可能產生額外的安全弱點。

如果攻擊者有能力在樣式表中撰寫 XSL 元素，即有可能更改 XSL 樣式表的語義和處理。攻擊者可能會更改樣式表的輸出，如此可以啟用 XSS (cross-site scripting) 攻擊，暴露本機檔案系統資源的內容，或執行任意程式碼。

範例 1：這些程式碼容易受到 XSLT Injection 的攻擊：

  ...
  String xmlUrl = Request["xmlurl"];
  String xslUrl = Request["xslurl"];

  XslCompiledTransform xslt = new XslCompiledTransform();
  xslt.Load(xslUrl);

  xslt.Transform(xmlUrl, "books.html");
  ...
  

Example 1 會在攻擊者將識別的 XSL 傳遞給 XSTL 處理器時，產生三種不同的攻擊：

1. XSS：

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <script>alert(123)</script>
    </xsl:template>
  </xsl:stylesheet>

  

處理 XSL 樣式表時，受害者的瀏覽器中會呈現 <script> 標籤，使得攻擊者得以執行 Cross-Site Scripting 攻擊。

2. 在伺服器檔案系統中讀取任意檔案：

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <xsl:copy-of select="document('file:///c:/winnt/win.ini')"/>
    </xsl:template>
  </xsl:stylesheet>

  

上述 XSL 樣式表將傳回 /etc/passwd 檔案內容。

3. 執行任意程式碼：

XSLT 處理器能夠將原生語言方法 (若未停用) 暴露為 XSLT 函數。

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:App="http://www.tempuri.org/App">
    <msxsl:script implements-prefix="App" language="C#">
      <![CDATA[
        public string ToShortDateString(string date)
          {
              System.Diagnostics.Process.Start("cmd.exe");
              return "01/01/2001";
          }
      ]]>
    </msxsl:script>
    <xsl:template match="ArrayOfTest">
      <TABLE>
        <xsl:for-each select="Test">
          <TR>
          <TD>
            <xsl:value-of select="App:ToShortDateString(TestDate)" />
          </TD>
          </TR>
        </xsl:for-each>
      </TABLE>
    </xsl:template>
  </xsl:stylesheet>

  

上述樣式表將在伺服器上執行「cmd.exe」指令。

XSLT injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XSL 樣式表。


應用程式一般會使用 XSL 樣式表將 XML 文件從一種格式轉換為另一種格式。XSL 樣式表包括特殊函數，函數可強化轉換過程，但若使用不當可能產生額外的安全弱點。

如果攻擊者有能力在樣式表中撰寫 XSL 元素，即有可能更改 XSL 樣式表的語義和處理。攻擊者可能會更改樣式表的輸出，如此可以啟用 XSS (cross-site scripting) 攻擊，暴露本機檔案系統資源的內容，或執行任意程式碼。若是攻擊者能夠全面掌控提交到應用程式的樣式表，則攻擊者也能夠執行 XXE (XML External Entity) injection 攻擊。

範例 1：這些程式碼容易受到 XSLT Injection 的攻擊：

...
<?php

$xml = new DOMDocument;
$xml->load('local.xml');

$xsl = new DOMDocument;
$xsl->load($_GET['key']);

$processor = new XSLTProcessor;
$processor->registerPHPFunctions();
$processor->importStyleSheet($xsl);

echo $processor->transformToXML($xml);

?>
...

Example 1 中的程式碼會在攻擊者將識別的 XSL 傳遞給 XSTL 處理器時，產生三種不同的攻擊：

1. XSS：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<script>alert(123)</script>
</xsl:template>
</xsl:stylesheet>

處理 XSL 樣式表時，受害者的瀏覽器中會呈現 <script> 標籤，使得攻擊者得以執行 Cross-Site Scripting 攻擊。

2. 在伺服器檔案系統中讀取任意檔案：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:copy-of select="document('/etc/passwd')"/>
</xsl:template>
</xsl:stylesheet>

上述 XSL 樣式表將傳回 /etc/passwd 檔案內容。

3. 執行任意 PHP 程式碼：

XSLT 處理器能夠經由啟用「registerPHPFunctions」，將原生 PHP 語言方法暴露為 XSLT 函數。

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:value-of select="php:function('passthru','ls -la')"/>
</xsl:template>
</xsl:stylesheet>

上述樣式表將輸出伺服器上的「ls」指令結果。

XSLT injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XSL 樣式表。


應用程式一般會使用 XSL 樣式表將 XML 文件從一種格式轉換為另一種格式。XSL 樣式表包括特殊函數，函數可強化轉換過程，但若使用不當可能產生額外的安全弱點。

如果攻擊者有能力在樣式表中撰寫 XSL 元素，即有可能更改 XSL 樣式表的語義和處理。攻擊者可能會更改樣式表的輸出，如此可以啟用 XSS (cross-site scripting) 攻擊，暴露本機檔案系統資源的內容，或執行任意程式碼。

範例 1：這些程式碼容易受到 XSLT Injection 的攻擊：

...
xml = StringIO.StringIO(request.POST['xml'])
xslt = StringIO.StringIO(request.POST['xslt'])

xslt_root = etree.XML(xslt)
transform = etree.XSLT(xslt_root)
result_tree = transform(xml)
return render_to_response(template_name, {'result': etree.tostring(result_tree)})
...

Example 1 中的程式碼會在攻擊者將識別的 XSL 傳遞給 XSTL 處理器時，產生三種不同的攻擊：

1. XSS：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <script>alert(123)</script>
  </xsl:template>
</xsl:stylesheet>

處理 XSL 樣式表時，受害者的瀏覽器中會呈現 <script> 標籤，使得攻擊者得以執行 Cross-Site Scripting 攻擊。

2. 在伺服器檔案系統中讀取任意檔案：

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

上述 XSL 樣式表將傳回 /etc/passwd 檔案內容。