מהי הזרקת xpath? - הגדרה מטכנולוגיה

הגדרה - מה המשמעות של הזרקת XPath?

הזרקת XPath היא טכניקת התקפה המשמשת לניצול יישומים המשמשים לבניית שאילתות XPath בהתבסס על התשומות שסופקו על ידי המשתמש. ניתן להשתמש בו ישירות על ידי יישום לשאילתת מסמך XML, אפילו כחלק מתהליך גדול יותר כגון שינוי XSLT למסמך XML. בהשוואה לזריקות SQL, זריקות XPath הן הרסניות יותר שכן XPath חסרת בקרת גישה ומספקת שאילתת מסדי נתונים שלמים. השאילתה השלמה של מסד נתונים SQL קשה, מכיוון שלא ניתן לשאול מטא-נתונים באמצעות שאילתות רגילות.

Techopedia מסביר את הזרקת XPath

ל- XPath, בהיותה שפה סטנדרטית, יש תחביר בלתי תלוי ביישום. זה הופך את ההתקפה לאוטומטית יותר. התקפת הזרקת XPath עובדת באופן דומה לזה של הזרקת SQL, כאשר האתר עושה שימוש במידע שסופק על ידי המשתמש בכדי לבנות את שאילתת XPath עבור נתוני XML. מידע פגום מוזרק לאתר בכוונה, ומאפשר לתוקף להבין את השיטה בה נתוני ה- XML ​​מובנים כדי לקבל גישה לנתונים שאחרת לא היו מורשים. לאחר מכן, התוקפים יכולים להמשיך ולהעלות את ההרשאות שיש להם באתר על ידי מניפולציה של תהליך אימות נתוני XML. במילים אחרות, כמו הזרקת SQL, הטכניקה היא לציין תכונות מסוימות ולקבל את הדפוסים הניתנים להתאמה המאפשרים לתוקף לעקוף אימות או לגשת למידע באופן לא מורשה. ההבדל הגדול ביותר בין הזרקת XPath להזרקת SQL הוא שהזרקת XPath עושה שימוש בקבצי XML לאחסון נתונים, ואילו SQL עושה שימוש בבסיס נתונים.

ניתן למנוע הזרקת XPath בעזרת טכניקות הגנה כגון חיטוי תשומות המשתמשים או התייחסות לכל כניסות המשתמשים כבלתי אמון וביצוע טכניקות חיטוי הכרחיות או בדיקת מקיף של יישומים המספקים או משתמשים בתשומות המשתמש.