XML-инъекция
Что такое XML-инъекция?
XML-инъекцияАтака, при которой в обработку XML внедряются вредоносные теги, атрибуты или фрагменты XPath, чтобы изменить логику или извлечь данные.
XML-инъекция возникает, когда пользовательский ввод встраивается в XML-документы, SOAP-сообщения или XPath-запросы без должной кодировки и проверки. Злоумышленник может добавить новые элементы (XML-инъекция), исказить иерархию документа (структурные атаки на XML) или изменить XPath-выражение (XPath-инъекция), чтобы обойти аутентификацию, повысить привилегии или прочитать произвольные части XML-источника. К смежным атакам относятся XXE, эксплуатирующие механизм разрешения сущностей в XML-парсерах. Защита — строгая валидация по схеме (XSD), параметризованные API XPath, кодирование всех недоверенных значений, помещаемых в XML, отключение неиспользуемых возможностей парсера и применение проверенных библиотек с безопасными настройками по умолчанию.
● Примеры
- 01
Отправка <username>admin</username><!--<password>x</password>-->, чтобы закомментировать элемент пароля и войти как администратор.
- 02
Инъекция ' or '1'='1 в XPath-запрос входа, при fail-open поведении возвращающий первого пользователя.
● Частые вопросы
Что такое XML-инъекция?
Атака, при которой в обработку XML внедряются вредоносные теги, атрибуты или фрагменты XPath, чтобы изменить логику или извлечь данные. Относится к категории Атаки и угрозы в кибербезопасности.
Что означает XML-инъекция?
Атака, при которой в обработку XML внедряются вредоносные теги, атрибуты или фрагменты XPath, чтобы изменить логику или извлечь данные.
Как защититься от XML-инъекция?
Защита от XML-инъекция обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия XML-инъекция?
Распространённые альтернативные названия: XPath-инъекция (смежная).