盲目式 XPath 插入 (差異分析)

high Web App Scanning Plugin ID 113310

語系：

概要

盲目式 XPath 插入 (差異分析)

說明

Web 應用程式使用 XML 路徑語言 (XPath) 查詢從 XML 文件中選取節點。一旦選取，應用程式就可以使用這些節點的值。

使用 XML 文件的一個簡單範例是儲存使用者資訊。作為驗證程序的一部分，應用程式將執行 XPath 查詢以確認登入憑證，並擷取該使用者的資訊以在下列要求中使用。

當使用未受信任的資料構建 XPath 查詢時，會發生 XPath 插入。

網路攻擊者可能會濫用此插入弱點，繞過驗證、查詢其他使用者的資訊，或者，如果 XML 文件包含有權限的使用者憑證，則允許網路攻擊者提升其權限。

掃描器已將特殊 XPath 查詢字元插入頁面，並根據伺服器的回應判斷該頁面容易受到 XPath 插入影響。

偵測到此插入是因為掃描程式能夠插入特定的 XPath 查詢，如果有弱點，這會導致每個插入的回應皆不相同。這稱為盲目式 XPath 插入弱點。

解決方案

防止 XPath 插入的首選方式是利用參數化 (也稱為準備就緒) XPath 查詢。當利用此查詢 XML 文件的方法時，用戶端提供的任何值都將作為字串處理，而不是作為 XPath 查詢的一部分進行處理。
參數化查詢的替代方法是使用預先編譯的 XPath 查詢。預編譯的 XPath 查詢不會動態產生，因此永遠不會將使用者提供的輸入處理為 XPath。