V5.3.10 Output Encoding and Injection Prevention

Requirement:

Verify that the application protects against XPath injection or XML injection attacks. (C4)

Explanation:

Внедрение XPath и внедрение XML — это типы атак, направленные на уязвимости в приложениях, использующих форматы данных на основе XML. Злоумышленник может внедрить вредоносный код в приложение, чтобы получить доступ к конфиденциальной информации или выполнить вредоносные действия. Чтобы убедиться, что приложение защищает от внедрения XPath и внедрения XML, вы должны убедиться, что любой пользовательский ввод, используемый в операциях на основе XPath или XML, правильно проверен и очищен.

Remediation:

Чтобы устранить атаки с внедрением XPath и внедрением XML, выполните следующие действия.

• Проверка ввода пользователя: проверка ввода должна выполняться, чтобы гарантировать, что данные, предоставленные пользователем, имеют правильный формат и находятся в ожидаемых пределах. Это помогает предотвратить внедрение злоумышленниками вредоносных данных в приложение.
• Дезинфекция пользовательского ввода: пользовательский ввод должен быть надлежащим образом дезинфицирован перед использованием в операциях на основе XPath или XML. Это может включать удаление или кодирование специальных символов, таких как < и >, которые имеют особое значение в форматах на основе XML.
• Используйте более безопасный метод синтаксического анализа: вместо встроенных функций синтаксического анализа XPath или XML используйте более безопасный метод синтаксического анализа, например библиотеку или инфраструктуру, обеспечивающую защиту от атак путем внедрения.

Вот пример того, как предотвратить атаки внедрения XPath и внедрения XML в PHP:

$user_input = $_GET['search'];

// Validate the user input

if (!preg_match('/^[a-zA-Z0-9\s]+$/', $user_input)) {

die("Invalid search string");

}

// Sanitize the user input

$search = htmlentities($user_input);

// Use a safer parsing method

$xml = simplexml_load_file('data.xml');

$results = $xml->xpath("//item[contains(name, '$search')]");

В этом примере пользовательский ввод сначала извлекается из запроса GET. Затем ввод проверяется с помощью регулярного выражения, чтобы гарантировать, что он содержит только буквенно-цифровые символы и пробелы. Если ввод недействителен, отображается сообщение, и приложение закрывается. Затем ввод дезинфицируется с помощью функции htmlentities, которая заменяет специальные символы эквивалентными им объектами HTML. Наконец, используется более безопасный метод синтаксического анализа, функция simplexml_load_file, для загрузки XML-файла и выполнения поиска с использованием выражения XPath. Это защищает от атак с внедрением XPath и внедрением XML за счет проверки и очистки пользовательского ввода, а также за счет использования более безопасного метода синтаксического анализа.

Additional: