주요정보통신기반시설 WEB-07 XPath 인젝션

WEB-07 XPath 인젝션

- XML 구조에 악의적인 쿼리 또는 코드를 삽입하여 정보를 탈취하는 공격

- XML은 DB, XPATH는 SQL

 

XPath 명령어

 

점검 및 판단 기준

- 양호 : 쿼리 입력 값에 대한 검증이 이루어지는 경우

- 취약 : 쿼리 입력 값에 대한 검증이 이루어지지 않는 경우

 

조치 방법

- 쿼리 입력값에 대해 검증 로직 추가 구현

 

점검 방법

- [ 'and'a'='a , 'and'a'='b ]와 [ and 1=1, and 1=2 ]의 세트값을 각각 삽입하여 쿼리의 참, 거짓에 따라 반환되는 페이지가 다른지 확인

보안 설정 방법

- XPATH 쿼리에 입력 값이 입력되는 경우, 엄격한 입력값 검증을 통해 필요 문자만을 받아들이게 함

- XPATH 쿼리를 파괴하는 특수문자는 입력하지 못하게 하여야 하며, 특정 특수문자만을 필터링하는것이 아닌 허용된 문자 이외의 모든 입력을 허용하지 않아야 함