[Bee-box] XML/Xpath 인젝션-Search

이번 포스팅은 XML/Xpath Search injection입니다.

 

실습하는 모든 공격은 실제로 사용하시면 안됩니다.

허용받지 않은 서비스 대상에 해킹을 시도하는 행동은 금지하며,

모든 법적 책임은 사용자에게 있는 것을 명심해주세요.

---

 

난이도 하

 

(owasp 공격분류 중) A1 이 이제 끝났다.ㅠㅠㅠ A1파트에 주요 공격인 sql인젝션이 함께 있어서 그런지,

los, webhacking...등 문제와 함께 풀며 이런저런 실습을 함께 하느라 시간이 더 오래 걸렸던 것 같다.

 

앞으론 빠르게 나가야 겠다.

 

 

xml/xpath injection (search) 들어가기!

(A1 마지막 실습입니다.)

 

 

 

 

xmli_2.php 페이지는 영화를 장르별로 분류하여 영화 제목만 테이블 형태로 출력한다.

 

 

 

 

GET 메서드로 요청하기 때문에 URL에 변수가 노출된다.

SQL 인젝션 취약점이 있는지 알아보기 위해, genre변수에 ' 작은따옴표 입력결과 xml과 관련된 경고를 출력한다.

 

 

 

url의 genre 변수에 항상 참인 쿼리를 입력한다. 

정상 쿼리에서 contains함수를 호출 하므로 소괄호와 '[ ]'를 사용하여 정상 쿼리를 강제로 닫는 쿼리를 만든다.

 

 

특히 xml을 호출할 때는 중간에 주석 문자를 입력하지 못하므로, 정상 쿼리 이외의 나머지 부분도 문법 오류가 

발생하지 않게 쿼리를 입력한다. 'contains'함수는 인자를 두개 받으면 첫인자에 입력한 문자열이 두번째 인자에 있으면 true 값을 반환. 아니면 false값을 반환한다.

 

lovelynoa.tistory.com/89

위 주소에 xml에서 자주 사용되는 함수들이 정의되어 있으니 참고해주세요.

 

') or 1=1 ][(' or

 

 

 

 

인젝션 결과 검색 가능한 모든 영화 제목을 출력하네요.

 

이는 항상 참인 결과를 출력하는 쿼리를 입력하였기 때문입니다.

 

원래 쿼리를 예상해보자면

genre=[('        ') or 1=1 ][(' or        ')] 이렇게 쿼리가 들어가지 않을까 예상해봅니다. (일부러 많이 띄워놨습니다.)

 

 

그럼 다음으로 xml 데이터베이스의 내용을 출력하는 쿼리를 입력해보면

 

')] |//*|evil[('

 

 

쿼리를 입력한 결과 xml 인젝션 공격이 성공하여 heroes 테이블에 존재하는 모든 사용자의 정보가

테이블 형태로 출력되는 것을 확인할 수 있다.

 

사진 이어 붙인겁니다.

 

즉 이쿼리를 해석해보자면

 

'|' 연산자를 사용해서 xpath 쿼리를 생성한 것인데, xpath에서 |연산자는 and연산자 처럼

다른 쿼리를 연결할 때 사용한다.

다음 페이지의 정상 쿼리를 닫고, | (and) 연산자로 '//*' 를 연결한 쿼리이다.

'//*'쿼리는 현재 노드로부터 모든 노드를 조회하는 xpath 쿼리이다.

정상적인 부분에 오류가 발생하지 않도록 and로 한번더 연결하여 임의의 문자열로 문법을 맞춰준것이다.

 

 

즉 원래 쿼리에 연결해서 생각하면

 

genre=[('       ')] |//*|evil[('       ')] 

 

이런식으로 인식이 된것이다.

 

xml 인젝션(search)

Clear

 

 

---

 

대응 방안

난이도 상 에서는 작은 따옴표를 사용하여도 XML오류 메세지를 확인할 수 없다.

 

난이도 상 에 페이지 코드를 확인 하면, xmli_check_1 () 함수를 사용하여 데이터를 우회한다.

 

 

 

함수를 살펴보았더니(함수는 functions_external.php에 정의되어있음)

'str_replace' 함수를 호출한다. 이 함수는 치환함수라고 봐도 되는데,

 

인젝션에 사용되는 문자를 공백으로 대체하는 함수이다.

str_replace 함수는 첫번째 인자에, 대체하려는 문자(즉 인젝션에 사용되는 문자)를 입력하고

두번째 인자에는 대체할 문자를 입력한다. 

마지막 인자에는 변경할 내용을 저장할 변수를 입력한다.  xmli_check_1함수에서 대체하는 문자들은 위와같고

이 문자를 공백으로 변환하여 injection을 시도할 시 먹히지 않게끔 막는 것이다.