# XPath 注入反模式 **严重性：** 高 ## 总结当应用程序在没有正确转义或参数化的情况下不安全地将用户输入嵌入到 XPath 查询中时，就会发生 XPath 注入。 XPath 用于导航和查询 XML 文档。与 SQL 注入类似，攻击者可以将特殊字符注入到输入中，从而操纵 XPath 查询的逻辑。这可能导致身份验证绕过、对敏感 XML 数据的未授权访问或有关 XML 文档结构的信息泄露。 ## 反模式反模式是通过将用户控制的输入直接连接到 XPath 字符串来构造 XPath 查询，而无需正确的转义或参数化。 ### 错误代码示例 # 漏洞：用户输入直接连接到 XPath 查询中。从 lxml 导入 etree # XML 文档示例 xml_doc = etree.fromstring(''' <用户> <用户> <名称>管理员 <密码>管理员密码 <角色>管理员 <用户> <名字>客人 <密码>访客密码 <角色>用户 '''） defauthenticate_user（用户名，密码）： # XPath 查询是使用字符串连接构造的。 # 攻击者可以注入单引号或布尔逻辑。 xpath_query = f"//用户[名称='{用户名}'和密码='{密码}']" # 攻击者的输入： # 用户名 =“admin”或“1”=“1” # 密码=“任意” # XPath 查询结果： #“//用户[名称='admin'或'1'='1'且密码='anything']” # 此查询将绕过身份验证并返回“admin”用户， # 因为 '1'='1' 始终为真。找到的用户 = xml_doc.xpath(xpath_query) 返回 len(found_users) > 0 # 测试有漏洞的函数 # print(authenticate_user("admin' or '1'='1", "blah")) # 返回 True！ ### 好的代码示例 # 安全：使用参数化机制或转义 XPath 的用户输入。从 lxml 导入 etree xml_doc = etree.fromstring(''' <用户> <用户> <名称>管理员 <密码>管理员密码 <角色>管理员 <用户> <名字>客人 <密码>访客密码 <角色>用户 '''） # lxml（和其他库）支持 XPath 参数化。 # 这将查询结构与用户提供的数据分开。 defauthenticate_user_secure（用户名，密码）： # 使用变量绑定机制单独传递参数。 # 库将处理正确的转义。 xpath_query = "//用户[名称=$用户名和密码=$密码]" # 定义 XPath 表达式的变量。变量 = {'用户名'：用户名，'密码'：密码} find_users = xml_doc.xpath(xpath_query, **变量) 返回 len(found_users) > 0 # 测试安全功能 # print(authenticate_user_secure("admin' or '1'='1", "blah")) # 返回 False（正确） ## 检测 * **检查 XPath 查询构造：** 查找使用字符串连接、插值（例如 f 字符串）或使用用户提供的输入的格式化方法构造 XPath 查询的任何代码。 * **识别 XPath 评估函数：** 搜索对“xpath()”、“evaluate()”、“selectNodes()”等函数的调用，或 XML 处理库中的类似方法。 * **检查转义：** 验证插入 XPath 查询的任何用户输入是否已正确转义。 XPath 中的转义规则可能很复杂，特别是对于同时包含单引号和双引号的字符串。 * **使用注入有效负载进行测试：** 输入 XPath 元字符（例如，`'`、`"`、`and`、`or`、`comment()`）以查看它们是否改变查询的行为或导致意外结果。 ## 预防 * **使用参数化 XPath 查询：** 这是最有效的防御。许多 XML 库提供了将变量与查询字符串分开传递到 XPath 表达式的机制，从而自动处理转义。 * **转义用户输入：** 如果参数化不可用，则必须正确转义 XPath 查询中使用的所有用户提供的输入。请小心包含单引号和双引号的字符串，因为它们需要特殊处理（例如，在 XPath 中使用 `concat()`）： def escape_xpath_string(s): # 使用 concat() 处理带有双引号的字符串如果 s 中为“'”且 s 中为 '"'：返回 "concat('" + s.replace("'", "',\"'\",'") + "')" s 中的 elif“'”：返回 '"' + s + '"' 其他：返回“'”+s+“'” * **验证输入：** 在任何 XPath 查询中使用用户输入之前，使用严格的允许列表来验证用户输入。例如，如果需要用户名，请确保它仅包含字母数字字符。 * **避免构建动态 XPath 表达式：** 只要有可能，就使用静态 XPath 表达式并依靠参数或 DOM 遍历进行动态选择。 ## 相关安全模式和反模式 * [SQL 注入反模式]()：直接模拟，目标是关系数据库。 * [LDAP 注入反模式]()：直接模拟，其中目标是 LDAP 目录服务。 * [缺少输入验证反模式]()：允许发生 XPath 注入的基本漏洞。 ## 参考文献 * [OWASP Top 10 A05:2025 - 注入]() * [OWASP GenAI LLM01:2025 - 提示注入]() * [OWASP API 安全 API8:2023 - 安全配置错误]() * [OWASP XPath 注入]() * [CWE-643：XPath 表达式中数据的不正确中和（“XPath 注入”）]() * [CAPEC-83：XPath 注入]() * 来源：[sec-context]()

Xpath 注入反模式

包含技能