Programmieren und Sicherheit: Unsere „Share & Learn“-Reihe – XQuery-Injection

XQuery-Injection-Angriffe werden manchmal als der kleine Bruder der weiter verbreiteten SQL-Injection-Angriffe betrachtet. Sie haben ähnliche Ursachen, und die Befehle, die Angreifer zur Ausnutzung verwenden, sind sich sehr ähnlich. Der Unterschied besteht lediglich darin, dass XQuery-Injection-Angriffe nur während einer XPath-Abfrage für XML-Daten stattfinden können. Aus diesem Grund werden sie manchmal auch als XPath-Injection oder einfach als XPath-Angriffe bezeichnet, da dies die verwendete Übertragungsmethode ist.

Die überwältigende Mehrheit der Websites nutzt XML-Datenbanken für kritische Funktionen wie die Speicherung von Benutzeranmeldedaten, Kundeninformationen, personenbezogenen Daten sowie vertraulichen oder sensiblen Informationen, was XQuery-Angriffen eine recht große Angriffsfläche bietet.

In dieser Folge erfahren Sie:

• Wie Angreifer XQuery-Injections nutzen
• Warum XQuery-Injections gefährlich sind
• Techniken zur Behebung dieser Schwachstelle.

Wie lösen Angreifer eine XQuery-Injection aus?

Wie bei den meisten Computersprachen wurde der Code für XPath auf Einfachheit ausgelegt. Tatsächlich ist XPath eine Standardsprache, und alle Notationen und Syntaxanweisungen bleiben unabhängig von der Anwendung, die sie verwendet, unverändert. Das bedeutet, dass die Befehle zur Manipulation einer XPath-Abfrage allgemein bekannt sind und sogar automatisiert werden können.

Im Kern ist eine XPath-Abfrage eine einfache Anweisung, die der XML-Datenbank mitteilt, welche Informationen gesucht werden sollen. In einem der einfachsten Beispiele wird sie verwendet, um zu prüfen, ob ein Benutzerdatensatz existiert, und anschließend dessen Anmeldedaten abzurufen. Das Problem besteht darin, dass Hacker die Abfrage manipulieren können, um Informationen zurückzugeben, die eigentlich geschützt sein sollten, da XPath-Abfragen Benutzereingaben enthalten.

Wenn ein Angreifer beispielsweise versucht, die Anmeldesicherheit zu umgehen, kann er Variablen an das Ende seiner XPath-Abfrage anhängen, die den gesamten Prozess aushebeln. Ein Beispiel könnte so aussehen:

//Employee[UserName/text()=anyone or 1=1 or a=a And Password/text()=doesnotmatter]

Hier wird das Feld für den Benutzernamen so manipuliert, dass es aufgrund der Anweisung 1=1 oder a=a auf jeden Benutzer passt. Das Passwortfeld spielt dabei keine Rolle mehr, da nur der erste Teil der Abfrage wahr sein muss.

Warum ist XQuery-Injection gefährlich?

Ein Hauptgrund, warum XQuery-Injection-Angriffe so gefährlich sind, ist, dass sie es Angreifern ermöglichen, die Anmelde- und Kontosicherheit zu umgehen. Dies kann zudem automatisiert über eine Standardsprache erfolgen, die nicht von der Anwendung abhängt. Angreifer können Websites und Anwendungen automatisch auf diese Schwachstelle scannen und sofort handeln, sobald sie entdeckt wird. Wenn Ihre App anfällig ist, werden die Angreifer sie kompromittieren. Neben der Gefährdung der Kontosicherheit können XQuery-Angriffe auch zur Datenexfiltration genutzt werden. Ein Angreifer könnte beispielsweise alle Datensätze aus der XML-Datenbank abziehen.

Beseitigung von XQuery-Injection-Angriffen

Wie bei ähnlichen Schwachstellen besteht eine wichtige Verteidigungsmaßnahme darin, Benutzereingaben grundsätzlich nicht zu vertrauen. Jedes Mal, wenn ein Benutzer Informationen eingeben kann – unabhängig davon, ob er eine Datenbankabfrage durchführt oder nicht –, sollte der Prozess genau geprüft werden. Das ist vergleichbar mit der Sicherung von Fenstern und Türen eines Gebäudes, da dies die Hauptzugangspunkte für Unbefugte sind.

Der Schutz vor XQuery-Injection erfolgt durch die Bereinigung von Benutzereingaben mittels Filtern oder durch eine Whitelist-Validierung der Eingaben. Sie können auch eine parametrisierte XPath-Schnittstelle verwenden, ähnlich wie bei Prepared Statements für SQL-Abfragen.

Achten Sie schließlich darauf, das Prinzip der geringsten Rechte (Least Privilege) auf alle Anwendungen anzuwenden. Das könnte bedeuten, einen Benutzer mit reinen Leserechten für alle Abfragen der Anwendung zu erstellen.

Durch den Einsatz dieser Techniken ist es möglich, alle XQuery-Injection-Versuche gegen Ihre Website oder Anwendung zu stoppen.

Weitere Informationen zu XQuery-Injections

Für weiterführende Informationen können Sie nachlesen, was OWASP über XQuery-Injections sagt. Sie können Ihr neu gewonnenes Verteidigungswissen auch mit einer kostenlosen Demo der Secure Code Warrior-Plattform testen, die Cybersicherheitsteams zu erstklassigen Cyber-Experten ausbildet. Um mehr darüber zu erfahren, wie Sie diese Schwachstelle und eine ganze Reihe weiterer Bedrohungen abwehren können, besuchen Sie den Secure Code Warrior-Blog.