Paweł Goleń, blog

Ostatnio po raz pierwszy "in real life" napotkałem XPath Injection. Po pierwsze czym jest XPath? W bardzo dużym uproszczeniu jest to język pozwalający na operowanie na danych przechowywanych w pliku XML, w szczególności na wyszukiwanie danych spełniających określone kryteria. Jak to w takim przypadku bywa w takie zapytanie XPath wstawiane są dane przekazane przez użytkownika. Jeśli programista nie zadba o odpowiednią walidację (i "oczyszczenie") danych ze znaków "specjalnych", wówczas możliwa jest modyfikacja zapytania XPath, co w szczególności prowadzi do uzyskania przez atakującego innych danych, niż było to zamierzone. Całość przypomina sql injection i nazywa się XPath Injection. OWASP posiada trochę informacji o XPath Injection: Testing for XPath Injection. Co ciekawe, jest nawet Blind XPath Injection.