文章总结： 本文详细介绍了XPath注入的原理、危害及实战技巧。它通过篡改XML查询逻辑，可绕过登录、窃取数据甚至读取服务器文件。文章对比了其与SQL注入的区别，指出其因常被忽视而更危险。文章还提供了漏洞检测、利用的Payload和工具，强调了在XML应用复苏的背景下，XPath注入是一个被低估的高价值漏洞领域，建议开发者和安全人员加强对此类漏洞的防御与挖掘。
综合评分： 93
文章分类： WEB安全,漏洞分析,渗透测试,SRC活动,实战经验
XPath注入从原理到实战：比SQL注入更隐秘的XML后门
原创
升斗安全XiuXiu
升斗安全
2025年12月2日 18:48
广东
【文章说明】
- 目的：本文内容仅为网络安全技术研究与教育目的而创作。
- 红线：严禁将本文知识用于任何未授权的非法活动。使用者必须遵守《网络安全法》等相关法律。
- 责任：任何对本文技术的滥用所引发的后果自负，与本公众号及作者无关。
- 免责：内容仅供参考，作者不对其准确性、完整性作任何担保。
阅读即代表您同意以上条款。
当所有人盯着数据库时，攻击者已通过XML管道窃走你的数据
一、神秘消失的管理员密码
想象一下这个场景：一个使用XML存储用户数据的系统，开发者自信地说：“我们不用数据库，所以没有SQL注入风险。”
然而，攻击者仅在登录框输入：
admin’ or ‘1’=’1
系统崩溃了。不是程序崩溃，而是安全防线崩溃——管理员被直接登录，所有用户数据一览无余。
这不是SQL注入，这是XPath注入——一个同样危险却常被忽视的漏洞。
二、XPath注入：XML的“导航劫持”
简单比喻：把XML文件看作一份电子地图，XPath就是导航指令。
正常导航：“带我去王府井大街”
异常导航：“带我去王府井大街或者去所有银行金库”
攻击者通过输入特殊符号，篡改了导航指令的逻辑。
核心攻击原理
<!-- 正常XML结构 --><users> <user> <name>小明</name> <password>123456</password> <role>user</role> </user></users><!-- 正常查询：//user[name='小明' and password='123456'] --><!-- 攻击注入：小明' or '1'='1 --><!-- 篡改后：//user[name='小明' or '1'='1' and password='???'] -->
当 ‘1’=’1′ 永远为真时，密码检查就被绕过了！
三、真实攻击案例：从理论到实战
案例1：登录绕过（最常见）
输入用户名：admin' or '1'='1输入密码：任意字符
结果：成功登录管理员账户，无需真实密码。
案例2：数据窃取（全量获取）
搜索关键词：'] | //* | //product[title='翻译：“给我搜索结果，或者全部数据，或者某个产品”
结果：返回整个XML文档，包括敏感信息。
案例3：盲注攻击（精确渗透）
猜测密码长度：admin' and string-length(password)=8 or '1'='0猜测密码字符：admin' and substring(password,1,1)='a' or '1'='0
方法：通过页面不同响应，逐个字符猜解密码。
案例4：文件读取（系统入侵）
文档路径：../../../etc/passwdXPath查询：document('../../../etc/passwd')/root
结果：读取服务器系统文件，获取敏感信息。
四、XPath注入 vs SQL注入：孪生兄弟的不同面孔
| | | |
| — | — | — |
| 维度 | XPath注入 | SQL注入 |
| 攻击目标 | XML文档/配置文件 | 数据库 |
| 数据源 | 应用层文件，无权限限制 | 数据库，受权限控制 |
| 查询语言 | XPath（路径查询） | SQL（关系查询） |
| 权限要求 | 较低（文件可读即可） | 较高（需数据库权限） |
| 防御意识 | 常被忽略，防护薄弱 | 关注度高，防护成熟 |
| 影响范围 | 单个文件或有限文件 | 可能影响整个数据库 |
| 工具支持 | 工具较少，多手动测试 | 大量自动化工具（SQLmap等） |
| 盲注难度 | 相对容易（响应明显） | 较复杂（需要时间盲注等） |
关键区别洞察
- 入口更隐蔽：XPath注入常存在于“被遗忘的角落”——配置读取、搜索功能、XML处理工具
- 危害更直接：直接读取应用层文件，无需数据库连接权限
- 检测更困难：安全扫描器对XPath注入的检测能力普遍较弱
五、赏金猎人的漏洞狩猎指南
发现技巧-特征识别
- 应用使用XML存储数据
- 存在搜索功能、登录框、过滤器
- 报错信息包含“XPath”、“XML”、“节点”等关键词
快速检测
# 测试payload清单' 或 " → 查看是否报错' and '1'='1 → 结果应与正常相同' and '1'='2 → 结果应为空' or count(//*)=10 → 探测文档结构
手动验证流程：
-
输入单引号 → 观察错误
-
输入永真条件 → 观察结果变化
-
输入永假条件 → 观察结果变化
-
尝试联合查询 | //* → 获取全部数据
利用工具
- Xcat：专门针对XPath注入的工具
- 手动Burp Suite测试：Repeater模块定制payload
- 自定义脚本：Python + requests库自动化测试
六、未来趋势：XPath注入的“第二春”
- 随着微服务和API的普及，XML的使用正在复苏
- SOAP API仍然广泛使用
- 配置文件普遍采用XML格式
- 企业遗留系统大量存在
这对赏金猎人意味着：这是一个被低估的漏洞领域，竞争较少，回报可能更高。
写在最后
XPath注入像是网络安全世界的“冷兵器”——在所有人都盯着SQL注入这类“热武器”时，一把精巧的匕首同样可以打开城堡的大门。
记住这句话：“最危险的漏洞，往往不是最复杂的，而是最被忽视的。”
对了，如果文章对你有用，记得一键三连（点赞、分享、关注）哦~
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：升斗安全 升斗安全XiuXiu《XPath注入从原理到实战：比SQL注入更隐秘的XML后门》