Los ataques de inyección XQuery se consideran a veces como el hermano pequeño de los ataques de inyección SQL más frecuentes. Tienen causas similares, y los comandos que los atacantes explotan para desencadenarlos son también muy parecidos. Sólo que los ataques de inyección XQuery sólo pueden ocurrir durante una consulta XPath para datos XML. Debido a esto, a veces se llaman Inyección XPath o simplemente ataques XPath, ya que ese es el método de entrega utilizado.

La gran mayoría de los sitios web utilizan bases de datos XML para realizar funciones críticas, como mantener las credenciales de acceso de los usuarios, la información de los clientes, la información de identidad personal y los datos confidenciales o sensibles, lo que hace que los ataques XQuery tengan una huella de ataque bastante grande.

En este episodio, aprenderemos:

• Cómo utilizan los atacantes las inyecciones XQuery
• Por qué son peligrosas las inyecciones de XQuery
• Técnicas que pueden solucionar esta vulnerabilidad.

¿Cómo se desencadena una inyección de XQuery por parte de los atacantes?

Al igual que la mayoría de los lenguajes informáticos, el código de XPath fue diseñado para la simplicidad. De hecho, XPath es un lenguaje estándar, y todas las notaciones y declaraciones sintácticas no cambian, independientemente de la aplicación que las utilice. Esto significa que los comandos utilizados para manipular una consulta XPath son bien conocidos, e incluso pueden ser automatizados.

En esencia, una consulta XPath es una simple sentencia que indica a la base de datos XML qué información debe buscar. En uno de los ejemplos más simplistas, se utiliza para comprobar si existe un registro de usuario y, a continuación, para recuperar sus credenciales de acceso. El problema es que como las consultas XPath incluyen la entrada del usuario, los hackers pueden manipular la consulta para devolver información que debería estar protegida.

Por ejemplo, al tratar de eludir la seguridad del inicio de sesión, un atacante puede añadir variables al final de su consulta XPath que eluden todo el proceso. Un ejemplo podría ser el siguiente:

//Employee[UserName/text()=anyone or 1=1 or a=a And Password/text()=doesnotmatter]

Aquí, el campo Nombre de usuario se hace coincidir con cualquier usuario debido a la declaración 1=1 o a=a. El campo de la contraseña ni siquiera importa, ya que sólo la primera parte de la consulta debe ser verdadera.

¿Por qué es peligrosa la inyección de XQuery?

Una de las principales razones por las que los ataques de inyección de XQuery son tan peligrosos es porque permiten a los atacantes eludir la seguridad del inicio de sesión y de la cuenta. Y permiten hacerlo de forma automatizada utilizando un lenguaje estándar que no varía según la aplicación. Los atacantes pueden escanear automáticamente los sitios web y las aplicaciones en busca de esta vulnerabilidad y actuar en cuanto la descubren. Si tu aplicación es vulnerable, los atacantes la comprometerán. Además de comprometer la seguridad de las cuentas, los ataques XQuery también pueden utilizarse para la exfiltración de datos. Por ejemplo, un atacante podría transferir todos los registros fuera de la base de datos XML.

Eliminación de los ataques de inyección de XQuery

Al igual que con vulnerabilidades similares, una defensa clave es simplemente no confiar en la entrada del usuario. Cada vez que un usuario puede introducir información, ya sea que esté haciendo una consulta a la base de datos o no, el proceso debe ser escudriñado. No es muy diferente a asegurar las ventanas y puertas de un edificio físico, ya que esas son las principales vías de acceso.

Para la protección de la inyección de XQuery, esto se hace mediante el saneamiento de la entrada del usuario a través del filtrado, o mediante el uso de la validación de entrada de la lista blanca de la entrada del usuario. También puede utilizar una interfaz XPath parametrizada, similar a las sentencias preparadas para las consultas SQL.

Por último, asegúrese de aplicar el mínimo privilegio a todas las aplicaciones. Eso podría significar crear un usuario con privilegios de sólo lectura para realizar todas las consultas de la aplicación.

Utilizando estas técnicas, es posible detener todos los intentos de inyección de XQuery realizados contra su sitio web o aplicación.

Más información sobre las inyecciones XQuery

Para más información, puedes echar un vistazo a lo que dice OWASP sobre las inyecciones XQuery. También puedes poner a prueba tus nuevos conocimientos defensivos con una demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blog Secure Code Warrior.