Los codificadores conquistan la seguridad: serie Share & Learn - XQuery Injection

Los ataques de inyección de XQuery a veces se consideran como el hermano pequeño de los más frecuentes. Ataques de inyección SQL. Tienen causas fundamentales similares, y los comandos que los atacantes aprovechan para activarlos también son muy parecidos. Lo que pasa es que los ataques por inyección de XQuery solo pueden producirse durante una consulta XPath de datos XML. Por este motivo, a veces se denominan ataques de inyección de XPath o simplemente de XPath, ya que es el método de entrega utilizado.

La gran mayoría de los sitios web utilizan bases de datos XML para realizar funciones críticas, como almacenar las credenciales de inicio de sesión de los usuarios, la información de los clientes, la información de identidad personal y los datos confidenciales o sensibles, lo que deja a los ataques de XQuery con una huella de ataque bastante grande.

En este episodio, aprenderemos:

• Cómo utilizan los atacantes las inyecciones de XQuery
• Por qué las inyecciones de XQuery son peligrosas
• Técnicas que pueden corregir esta vulnerabilidad.

¿Cómo activan los atacantes una inyección de XQuery?

Como ocurre con la mayoría de los lenguajes de programación, el código de XPath se diseñó pensando en la simplicidad. De hecho, XPath es un lenguaje estándar y todas las notaciones y sentencias de sintaxis permanecen inalteradas independientemente de la aplicación que las utilice. Esto significa que los comandos que se utilizan para manipular una consulta XPath son bien conocidos e incluso pueden automatizarse.

En esencia, una consulta XPath es una declaración simple que indica a la base de datos XML qué información buscar. En uno de los ejemplos más simplistas, se usa para comprobar si existe un registro de usuario y, a continuación, para recuperar sus credenciales de inicio de sesión. El problema es que, dado que las consultas de XPath incluyen datos introducidos por el usuario, los piratas informáticos pueden manipular la consulta para obtener información que debería protegerse.

Por ejemplo, al intentar eludir la seguridad de inicio de sesión, un atacante puede añadir variables al final de su consulta XPath que eviten todo el proceso. Un ejemplo podría tener este aspecto:

//Empleado [nombre de usuario/texto () =cualquiera o 1=1 o a=a Y contraseña/texto () =no importa]

Aquí, el campo Nombre de usuario se hace para que coincida con cualquier usuario debido a la sentencia 1=1 o a=a. El campo de contraseña ni siquiera importará, ya que solo la primera parte de la consulta debe ser verdadera.

¿Por qué es peligrosa la inyección de XQuery?

Una de las principales razones por las que los ataques de inyección de XQuery son tan peligrosos es porque permiten a los atacantes eludir la seguridad del inicio de sesión y de la cuenta. Además, permiten hacerlo de forma automatizada utilizando un lenguaje estándar que no varía según la aplicación. Los atacantes pueden escanear automáticamente los sitios web y las aplicaciones en busca de esta vulnerabilidad y actuar tan pronto como la descubran. Si tu aplicación es vulnerable, los atacantes la pondrán en peligro. Además de comprometer la seguridad de la cuenta, los ataques de XQuery también se pueden utilizar para la exfiltración de datos. Por ejemplo, un atacante podría transferir todos los registros de la base de datos XML.

Eliminación de los ataques de inyección de XQuery

Al igual que ocurre con vulnerabilidades similares, una defensa clave es simplemente no confiar en los comentarios de los usuarios. Siempre que un usuario pueda introducir información, ya sea que esté realizando una consulta a la base de datos o no, el proceso debe analizarse minuciosamente. No es diferente a asegurar las ventanas y puertas de un edificio físico, ya que esas son las principales formas en que las personas pueden acceder.

Para la protección contra inyecciones de XQuery, esto se hace desinfectando las entradas del usuario mediante el filtrado o mediante la validación de entradas de la lista blanca de las entradas del usuario. También puede usar una interfaz XPath parametrizada, similar a las instrucciones preparadas para las consultas SQL.

Por último, asegúrese de conceder el mínimo privilegio a todas las aplicaciones. Esto podría significar crear un usuario con privilegios de solo lectura para realizar todas las consultas de la aplicación.

Mediante el uso de estas técnicas, es posible detener todos los intentos de inyección de XQuery realizados contra su sitio web o aplicación.

Más información sobre las inyecciones de XQuery

Para leer más, puede echar un vistazo a lo que dice OWASP sobre las inyecciones de XQuery. También puedes poner a prueba tus nuevos conocimientos defensivos con un demo gratuita de la plataforma Secure Code Warrior, que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para obtener más información sobre cómo derrotar esta vulnerabilidad y la galería de otras amenazas de los delincuentes, visita la Código seguro Guerrero blog.