XPATH注入漏洞检测工具汇总

漏洞简单介绍

这种漏洞允许攻击者注入恶意XPath代码，从而操纵应用程序对XML数据的处理方式。

当应用程序使用用户提供的输入来查询XML数据时，如果这些输入没有经过适当的验证或清理，攻击者可以注入恶意XPath代码。这些代码可能在正常查询的上下文中执行，导致应用程序产生意外的结果或行为，类似于SQL注入。

例如，假设一个应用程序使用用户提供的ID来检索XML数据。如果没有对ID进行适当的验证，攻击者可以注入类似于//user[id='admin']的XPath代码，从而获取所有具有管理员权限的用户的数据。

靶场搭建

https://mohen.blog.csdn.net/article/details/135771283

工具介绍

xcat

安装

环境 > Python3.7

pip3 install xcat

帮助

Options:
  -m, --method TEXT                  要使用的HTTP方法[默认值：GET]
  -h, --headers FILENAME         包含额外 headers 的文件
  -b, --body FILENAME              包含要在请求正文中发送的数据的文件
  -e, --encode [URL|FORM]        发送参数的位置（POST正文或URL中）