Programmierer erobern die Sicherheit: Serie „Teilen und Lernen“ - XQuery Injection

XQuery-Injection-Angriffe werden manchmal als der kleine Bruder der verbreiteteren angesehen. SQL-Injection-Angriffe. Sie haben ähnliche Ursachen, und die Befehle, die Angreifer nutzen, um sie beide auszulösen, sind ebenfalls sehr ähnlich. Es ist nur so, dass XQuery-Injection-Angriffe nur während einer XPath-Abfrage für XML-Daten auftreten können. Aus diesem Grund werden sie manchmal als XPath Injection oder einfach als XPath-Angriffe bezeichnet, da dies die verwendete Übermittlungsmethode ist.

Eine große Mehrheit der Websites verwendet XML-Datenbanken, um wichtige Funktionen wie das Speichern von Benutzeranmeldedaten, Kundeninformationen, persönlichen Identitätsinformationen und vertraulichen oder sensiblen Daten auszuführen, sodass XQuery-Angriffe einen ziemlich großen Angriffsfußabdruck haben.

In dieser Episode werden wir lernen:

• Wie Angreifer XQuery-Injektionen verwenden
• Warum XQuery-Injektionen gefährlich sind
• Techniken, mit denen diese Sicherheitsanfälligkeit behoben werden kann.

Wie lösen Angreifer eine XQuery-Injection aus?

Wie bei den meisten Computersprachen wurde der Code für XPath aus Gründen der Einfachheit entworfen. Tatsächlich ist XPath eine Standardsprache, und alle Notationen und Syntaxanweisungen sind unverändert, unabhängig davon, welche Anwendung sie verwendet. Das bedeutet, dass die Befehle, die zur Manipulation einer XPath-Abfrage verwendet werden, allgemein bekannt sind und sogar automatisiert werden können.

Im Kern ist eine XPath-Abfrage eine einfache Anweisung, die der XML-Datenbank mitteilt, welche Informationen gesucht werden sollen. In einem der einfachsten Beispiele wird es verwendet, um zu überprüfen, ob ein Benutzerdatensatz existiert, und dann, um seine Anmeldeinformationen abzurufen. Da XPath-Abfragen Benutzereingaben enthalten, können Hacker die Abfrage manipulieren, um Informationen zurückzugeben, die geschützt werden sollten.

Wenn ein Angreifer beispielsweise versucht, die Anmeldesicherheit zu umgehen, kann er am Ende seiner XPath-Abfrage Variablen hinzufügen, die den gesamten Prozess umgehen. Ein Beispiel könnte so aussehen:

//Mitarbeiter [Benutzername/text () =irgendjemand oder 1=1 oder a=a Und Passwort/text () =spielt keine Rolle]

Hier wird das Feld Benutzername so gestaltet, dass es aufgrund der 1=1- oder a=a-Anweisung jedem Benutzer entspricht. Das Passwortfeld spielt keine Rolle, da nur der erste Teil der Abfrage wahr sein muss.

Warum ist XQuery Injection gefährlich?

Ein Hauptgrund dafür, dass XQuery-Injection-Angriffe so gefährlich sind, liegt darin, dass sie es Angreifern ermöglichen, die Anmelde- und Kontosicherheit zu umgehen. Und sie ermöglichen eine automatisierte Ausführung mithilfe einer Standardsprache, die sich je nach Anwendung nicht unterscheidet. Angreifer können Websites und Anwendungen automatisch nach dieser Sicherheitslücke durchsuchen und handeln, sobald sie entdeckt wird. Wenn Ihre App anfällig ist, werden die Angreifer sie kompromittieren. XQuery-Angriffe gefährden nicht nur die Kontosicherheit, sondern können auch zur Datenexfiltration verwendet werden. Ein Angreifer könnte beispielsweise alle Datensätze aus der XML-Datenbank übertragen.

Eliminierung von XQuery-Injection-Angriffen

Wie bei ähnlichen Sicherheitslücken besteht eine wichtige Abwehr darin, Benutzereingaben einfach nicht zu vertrauen. Jedes Mal, wenn ein Benutzer Informationen eingeben kann, unabhängig davon, ob er eine Datenbankabfrage stellt oder nicht, sollte der Vorgang genau unter die Lupe genommen werden. Es ist nicht anders, als die Fenster und Türen eines physischen Gebäudes zu sichern, da dies die Hauptwege sind, über die sich Menschen Zugang verschaffen können.

Für den XQuery-Injektionsschutz erfolgt dies durch Bereinigen von Benutzereingaben durch Filtern oder durch eine Whitelist-Eingabevalidierung von Benutzereingaben. Sie können auch eine parametrisierte XPath-Schnittstelle verwenden, ähnlich wie vorbereitete Anweisungen für SQL-Abfragen.

Stellen Sie abschließend sicher, dass Sie allen Anwendungen die geringsten Rechte zuweisen. Das könnte bedeuten, dass Sie einen Benutzer mit Leseberechtigungen erstellen müssen, der alle Anwendungsabfragen ausführen kann.

Mithilfe dieser Techniken ist es möglich, alle XQuery-Injection-Versuche gegen Ihre Website oder Anwendung zu stoppen.

Weitere Informationen zu XQuery Injections

Für weitere Informationen können Sie sich ansehen, was OWASP über XQuery Injections sagt. Sie können Ihr neu gewonnenes Defensivwissen auch mit einem auf die Probe stellen kostenlose Demo der Secure Code Warrior-Plattform, die Cybersicherheitsteams zu ultimativen Cyberkriegern ausbildet. Um mehr über die Beseitigung dieser Sicherheitslücke und eine Galerie mit anderen Bedrohungen zu erfahren, besuchen Sie die Sicherer Code Krieger Blog.