Für die Datenspeicherung dieses Blogs habe ich mich nach einigem Grübeln für XML entschieden. Weiterhin brauchte ich dann, für den Teil zur Kommentierung eines Kommentars (beurk!), eine Möglichkeit zur Selektion von Nodes aus dem Baum.
Was liegt, verwendet man XML, also nächer als XPath? - gedacht, getan. Wie dem geneigten Leser jetzt vielleicht nach etwas Linkhovering aber auffallen mag, haben die "Antworten"-Links die Form ...?select=X.Y. - und nicht etwa ...?select=comment[X]. Und zwar aus gutem Grund:

XPath Injection.

Während wohl viele SQL Injection kennen, ist XPath Injection etwas eher neues (es existiert zumindest ein Paper: PDF»). Am besten ist das ganze wohl anhand eines Beispiels gezeigt:

<?xml version="1.0" encoding="utf-8"?>
<sample>
 <secret><password>23</password></secret>
 <public>
  <page no="1">page1</page>
  <page no="2">page2</page>
 </public>
</sample>

#!/usr/bin/python

from sys import stdin
import libxml2

doc = libxml2.parseFile("sample.xml")
root = doc.getRootElement()

query = stdin.readline().strip()
res = root.xpathEval("public/page[@no = %s]" % (query))
if len(res):
	for one in res:
		print one.content
else:
	print "Nothing found."
doc.freeDoc()

Die beiden Files sollen ein einfaches Seitenabrufsystem nachbilden, das aus einer XML-Datei je nach Anfrage eine Seite liefert.

Probieren wir mal, wie das Programm auf unterschiedliche Eingaben reagiert:

	» 1
	« page1

Prima.

	» 3
	« Nothing found.

Auch gut.

	» ?
	« Invalid expression
	« xmlXPathEval: evaluation failed

Mmmh...

	» 1 or 1
	« page1
	« page2

Uh-Oh...

	» 1]/../../secret/password[1 = 1
	« 23

Shit!

Das Problem ist ziemlich klar - die Eingabe wird direkt in die XPath-Query eingefügt. public/page[@no = 1]/../../secret/password[1 = 1] bildet einen gültigen XPath-Ausdruck und liefert uns ohne Umwege das Passwort.

Nun ist dieses Beispiel zwar konstruiert, aber keineswegs unrealistisch. Immerhin sind XML-basierte Datenbanken momentan ziemlich angesagt, und wenn Otto Anwendungsprogrammierer nicht aufpasst ist schnell ein XPath-Ausdruck zugänglich.

Maßnahmen konkret am Beispiel:

• erst mal Quoten. "...[@no = '%s']" % (query) ist ein guter Anfang, aber man kann immernoch ausbrechen.
• Datentypen beschränken. "...[@no = '%d']" % (int(query)) schützt zuverlässig vor allem was keine Zahl ist
• Strings auf gültige Angaben (z.B. via regexp /^\d+$/)

Allgemeinere Maßnahmen

• Korrekt Quoten. Müsste man aber vorher intensiv Nachdenken was man denn alles quoten muss - z.B. für XSLT select="'%s'" müsste man nicht nur ' sondern auch " quoten...
• Bei XSLT: als Parameter übergeben. Die meisten XSLT-Prozessoren können Parameter an ein Stylesheet übergeben. Allerdings wertet libxslt Parameter auch als XPath aus...
• Für XML-Datenbanken: Zugriffsbeschränkungen einführen. Was bei SQL Alltag ist, fehlt teilweise noch in XML-Datenbanken, wo jeder die komplette Datenbank einfach auslesen kann.

Von deutlichem Nachteil ist hier, dass es - im Gegensatz zu SQL - für XML keine mir bekannten Quoting-Funktionen gibt. Ein zu mysql_escape_string analog arbeitendes xpath_escape_string wäre in XML-Bibliotheken sehr angebracht.
Evtl. kann man auch html_escape_string benutzen, falls dieses " escaped und man seine Strings alle mit " begrenzt. (' ist auch möglich)