搜索

[301] 2019-06-29_XPath注入

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-06-29_XPath注入 X P a t h 注 入 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 6 - 2 9 0 x 0 0 ： ： 介 绍 介 绍 我 们 都 知 道 数 据 库 ， 以 表 的 形 式 来 存 储 数 据 。 除 了 数 据 库 还 有 一 种 方 式 即 以 文 件 形 式 存 储 ， 例 如   x m l   文 件   t x t   文 件 等 。 当 然 像 文 件 存 储 数 据 一 般 很 少 用 ， 文 件 存 储 有 弊 端 ， 数 据 过 多 时 ， 读 写 都 很 慢 没 有 索 引 。 一 些 配 置 性 的 东 西 可 能 会 存 到   x m l   文 件 中 。 x m l   存 数 据 结 构 和   h t m l   有 点 像 ， 比 如 根 结 点 、 子 节 点 、 属 性 节 点 、 文 本 等 。 像 上 面 这 个   x m l   数 据 存 储 ， 书 库   b o o k s t o r e   就 是 根 结 点 ， b o o k   书 就 是 它 的 子 节 点 ， 书 名   t i t l e   的   l a n g   语 言 就 是 属 性 节 点 ， 书 名 价 格 那 些 内 容 就 是 文 本 。 当 需 要 读 取 这 些 数 据 的 时 候 ， 数 据 库 都 有 增 删 改 查 语 法 ， x m l   的 读 取 也 有 自 己 的 语 法 ， 这 个 读 取 方 法 就 叫   x p a t h 。 语 法 这 里 不 介 绍 了 ， 直 接 到   w 3 c   等 网 站 花 十 分 钟 过 一 遍 即 可 。 0 x 0 1 ： ： 示 例 示 例 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " I S O - 8 8 5 9 - 1 " ? > < b o o k s t o r e >         < b o o k >             < t i t l e   l a n g = " e n g " > H a r r y   P o t t e r < / t i t l e >             < p r i c e > 2 9 . 9 9 < / p r i c e >         < / b o o k >         < b o o k >             < t i t l e   l a n g = " e n g " > L e a r n i n g   X M L < / t i t l e >             < p r i c e > 3 9 . 9 5 < / p r i c e >         < / b o o k > < / b o o k s t o r e >
这 个 和   s q l   注 入 原 理 一 样 ， 读 取 数 据 的 时 候 没 过 滤 导 致 可 以 读 到 所 有 的 内 容 ， 这 是   x p a t h   最 主 要 的 危 害 ， 还 有 一 个 是 有 些 用 户 认 证 的 信 息 会 放 在   x m l   文 件 中 ， x p a t h   可 以 登 录 ， 这 两 个 例 子   b w a p p   都 有 ， 先 看 下 登 录 。 账 号 和 密 码 输 对 了 就 会 提 示 欢 迎 信 息 ， 如 果 做 黑 盒 测 试 ， 其 实 完 全 就 是 一 个   s q l   注 入 测 试 ， 输 入   1 ' o r ' 1 ' = ' 1   就 能 登 录 。 这 个 很 简 单 ， 了 解 源 码 和 原 理 才 是 主 要 的 ， 定 位 到 这 个 文 件   x m i l 1 . p h p ， 核 心 代 码 如 下 。 这 里   r e q u e s t   接 受 到 用 户 输 入 的 用 户 名 和 密 码 后 用   x m l i   进 行 了 处 理 ， 低 级 时 此 函 数 不 做 任 何 过 滤 ， 然 后 程 序 使 用 s i m p l e x m l _ l o a d _ f i l e   函 数 加 载 了   h e r o e s . x m l   文 件 ， 随 后 使 用 了 其 下 的   x p a t h   方 法 来 执 行 查 询 语 法 （ 查 询   h e r o e s   节 点 下 的   h e r o   节 点 下 的   l o g i n   和   p a s s w o r d   节 点 的 值 是 否 有 匹 配 相 等 的 ） ， 这 里 用 户 名 和 密 码 未 作 过 滤 直 接 拼 接 的 所 以 造 成 了   x p a t h   注 入 。 h e r o e s . x m l   没 有 什 么 可 分 析 的 ， 核 心 内 容 如 下 。 i f ( i s s e t ( $ _ R E Q U E S T [ " l o g i n " ] )   &   i s s e t ( $ _ R E Q U E S T [ " p a s s w o r d " ] ) ) {         $ l o g i n   =   $ _ R E Q U E S T [ " l o g i n " ] ;         $ l o g i n   =   x m l i ( $ l o g i n ) ;         $ p a s s w o r d   =   $ _ R E Q U E S T [ " p a s s w o r d " ] ;         $ p a s s w o r d   =   x m l i ( $ p a s s w o r d ) ;         / /   L o a d s   t h e   X M L   f i l e         $ x m l   =   s i m p l e x m l _ l o a d _ f i l e ( " p a s s w o r d s / h e r o e s . x m l " ) ;         / /   X P a t h   s e a r c h         $ r e s u l t   =   $ x m l - > x p a t h ( " / h e r o e s / h e r o [ l o g i n = ' "   .   $ l o g i n   .   " '   a n d   p a s s w o r d = ' "   .   $ p a s s w o r d   .   " ' ] " ) ;         i f ( $ r e s u l t ) {                 $ m e s s a g e   =     " < p > W e l c o m e   < b > "   .   u c w o r d s ( $ r e s u l t [ 0 ] - > l o g i n )   .   " < / b > ,   h o w   a r e   y o u   t o d a y ? < / p > < p > Y o u r   s e c r e t :   < b > "         } e l s e {                 $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > I n v a l i d   c r e d e n t i a l s ! < / f o n t > " ;         }
上 面 是 登 录 的 示 例 ， 遇 到 的 很 少 ， 黑 盒 测 试 可 以 当 作 注 入 测 ， 下 面 看 一 下 搜 索 的 例 子 ， 这 里 的 搜 索 是 选 择 相 应 的 下 拉 菜 单 搜 索 不 同 的 内 容 。 理 论 来 测 的 话 ， 输 入 单 引 号 加 上   o r   等 看 可 不 可 以 返 回 所 有 的 信 息 ， 但 这 里 的 搜 索 用 了   x p a t h   的 包 含 关 键 字 功 能 ， 所 以 直 接 单 引 号   o r   这 些 行 不 通 ， 这 里 如 果 有 源 码 可 以 很 方 便 的 查 看 程 序 是 怎 么 实 现 的 ， 方 便 构 造   p a y l o a d ， 如 果 是 黑 盒 测 试 ， 单 从 功 能 来 看 ， 基 本 分 不 出 来 是   s q l   还 是   x p a t h ， 有 些 程 序 会 返 回 错 误 信 息 并 打 印 错 误 语 句 ， 这 个 便 于 我 们 判 断 ， 但 如 果 是 固 定 的 错 误 ， 我 们 可 能 就 需 要 盲 测 。 以 上 就 是 这 个 搜 索 的 核 心 代 码 ， 还 是 加 载 的   h e r o e s . x m l   文 件 （ 结 构 参 考 登 录 示 例 ） ， 这 里 的   x p a t h   使 用 了   c o n t a i n s   包 含 函 数 ， 测 试 包 含 的 那 个 节 点 是   g e n r e ， 从 而 这 个 查 询 就 变 成 了   h e r o   节 点 下 的   g e n r e   节 点 包 含   x x x   关 键 字 的   m o v i e   节 点 内 容 。 构 造   p a y l o a d   首 先 需 要 知 道   x p a t h   路 径 是 什 么 样 子 的 ， 即 如 果 传 入 了   a c t i o n ， 这 个 语 法 是 什 么 。 传 入   a c t i o n   后 ： / / h e r o [ c o n t a i n s ( ' a c t i o n ' ) ] / m o v i e ， 随 后 我 们 可 以 利 用 单 引 号 小 括 号 中 括 号 来 闭 合   c o n t a i n s   函 数 ， 然 后 利 用   x p a t h   语 法 的 或   |   来 闭 合 后 面 的 内 容 ， 使 用   / /   来 查 询 所 有 的 子 节 点 ， 故   p a y l o a d   为 ： a c t i o n ' ) ] | / / | / / [ ( ' ， 这 样 就 构 成 了 一 个 完 整 的   x p a t h 查 询 方 法 ， 包 含 了 三 个 查 询 方 法 。 / / h e r o [ c o n t a i n s ( ' a c t i o n ' ) ] | / / | / / * [ ( ' ' ) ] / m o v i e 。 0 x 0 2 ： ： 防 护 措 施 防 护 措 施 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < h e r o e s >         < h e r o >                 < i d > 1 < / i d >                 < l o g i n > n e o < / l o g i n >                 < p a s s w o r d > t r i n i t y < / p a s s w o r d >                 < s e c r e t > O h   w h y   d i d n ' t   I   t o o k   t h a t   B L A C K   p i l l ? < / s e c r e t >                 < m o v i e > T h e   M a t r i x < / m o v i e >                 < g e n r e > a c t i o n   s c i - f i < / g e n r e >         < / h e r o > < / h e r o e s > i f ( i s s e t ( $ _ R E Q U E S T [ " g e n r e " ] ) )   {         $ g e n r e   =   $ _ R E Q U E S T [ " g e n r e " ] ;         $ g e n r e   =   x m l i ( $ g e n r e ) ;         $ x m l   =   s i m p l e x m l _ l o a d _ f i l e ( " p a s s w o r d s / h e r o e s . x m l " ) ;           $ r e s u l t   =   $ x m l - > x p a t h ( " / / h e r o [ c o n t a i n s ( g e n r e ,   ' $ g e n r e ' ) ] / m o v i e " ) ; }
对 于   x p a t h   防 护 和 普 遍 的 注 入 方 法 一 样 ， 首 要 的 就 是 后 端 过 滤 用 户 传 来 的 内 容 ， 即 使 前 端 是 下 拉 框 选 择 的 这 种 也 应 该 过 滤 ，   避 免 恶 意 攻 击 者 抓 包 修 改 数 据 。 建 议 最 好 也 过 滤 一 下   x p a t h   的 一 些 函 数 ， 因 为 如 果 碰 到 盲 注 的 情 况 ， 我 们 可 以 尝 试 一 些   x p a t h   函 数 试 错 。 0 x 0 3 ： ： 总 结 总 结 x p a t h   在 黑 盒 测 试 中 不 好 判 断 的 时 候 ， 这 时 可 以 尝 试 让 系 统 报 一 些 错 误 信 息 ， 或 搜 集 一 些 系 统 信 息 ， 看 有 没 有   x p a t h   等 操 作 的 标 识 ， 白 盒 直 接 看 代 码 构 造   p a y l o a d   即 可 。 如 果 确 定 是   x p a t h   操 作 ， 然 后 又 没 有 源 码 的 情 况 下 ， 可 以 多 尝 试 些   x p a t h   的 一 些 函 数 ， 类 似 于   s q l   注 入 时 的 手 工 注 入 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理