Programadores que conquistan la seguridad: Serie de aprendizaje y colaboración - Inyección XQuery

A veces se piensa en los ataques de inyección XQuery como el hermano pequeño de los más frecuentes ataques de inyección SQL. Tienen causas raíz similares y los comandos que los atacantes explotan para provocarlos también son muy parecidos. La diferencia es que los ataques de inyección XQuery solo pueden ocurrir durante una consulta XPath para datos XML. Debido a esto, a veces se les llama inyección XPath o simplemente ataques XPath, ya que ese es el método de entrega utilizado.

La gran mayoría de los sitios web utilizan bases de datos XML para realizar funciones críticas, como almacenar credenciales de inicio de sesión, información de clientes, datos de identidad personal e información confidencial o sensible, lo que deja a los ataques de XQuery con una superficie de ataque bastante amplia.

En este episodio, aprenderemos:

• Cómo utilizan los atacantes las inyecciones XQuery
• Por qué las inyecciones XQuery son peligrosas
• Técnicas para solucionar esta vulnerabilidad.

¿Cómo provocan los atacantes una inyección XQuery?

Al igual que con la mayoría de los lenguajes informáticos, el código de XPath fue diseñado para ser sencillo. De hecho, XPath es un lenguaje estándar y todas las notaciones y declaraciones de sintaxis no cambian independientemente de la aplicación que los utilice. Esto significa que los comandos utilizados para manipular una consulta XPath son bien conocidos e incluso pueden automatizarse.

En esencia, una consulta XPath es una declaración simple que le indica a la base de datos XML qué información buscar. En uno de los ejemplos más simples, se utiliza para comprobar si existe un registro de usuario y luego recuperar sus credenciales de inicio de sesión. El problema es que, como las consultas XPath incluyen la entrada del usuario, los hackers pueden manipular la consulta para que devuelva información que debería estar protegida.

Por ejemplo, al intentar eludir la seguridad de inicio de sesión, un atacante puede añadir variables al final de su consulta XPath que eviten todo el proceso. Un ejemplo podría ser así:

//Employee[UserName/text()=anyone or 1=1 or a=a And Password/text()=doesnotmatter]

Aquí, el campo de nombre de usuario se hace coincidir con cualquier usuario debido a la declaración 1=1 o a=a. El campo de contraseña ni siquiera importará, ya que solo es necesario que la primera parte de la consulta sea verdadera.

¿Por qué es peligrosa la inyección XQuery?

Una razón principal por la que los ataques de inyección XQuery son tan peligrosos es porque permiten a los atacantes eludir la seguridad de inicio de sesión y de las cuentas. Y permiten que esto se haga de forma automatizada utilizando un lenguaje estándar que no varía según la aplicación. Los atacantes pueden escanear automáticamente sitios web y aplicaciones en busca de esta vulnerabilidad y actuar tan pronto como se descubra. Si su aplicación es vulnerable, los atacantes la comprometerán. Más allá de comprometer la seguridad de la cuenta, los ataques XQuery también pueden utilizarse para la exfiltración de datos. Por ejemplo, un atacante podría transferir todos los registros fuera de la base de datos XML.

Eliminación de los ataques de inyección XQuery

Al igual que con vulnerabilidades similares, una defensa clave es simplemente no confiar en la entrada del usuario. Cada vez que un usuario puede introducir información, ya sea que esté realizando una consulta a la base de datos o no, el proceso debe ser examinado. No es diferente a asegurar las ventanas y puertas de un edificio físico, ya que esas son las formas principales en que las personas pueden obtener acceso.

Para la protección contra la inyección XQuery, esto se logra saneando la entrada del usuario mediante filtrado o utilizando la validación de entrada de lista blanca. También puede utilizar una interfaz XPath parametrizada, similar a las sentencias preparadas para consultas SQL.

Por último, asegúrese de aplicar el principio de menor privilegio a todas las aplicaciones. Eso podría significar crear un usuario con privilegios de solo lectura para realizar todas las consultas de la aplicación.

Al utilizar estas técnicas, es posible detener todos los intentos de inyección XQuery realizados contra su sitio web o aplicación.

Más información sobre las inyecciones XQuery

Para profundizar, puedes consultar lo que dice OWASP sobre las inyecciones XQuery. También puedes poner a prueba tus nuevos conocimientos defensivos con una demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores guerreros cibernéticos. Para aprender más sobre cómo derrotar esta vulnerabilidad y una amplia lista de otras amenazas, visita el blog de Secure Code Warrior.