口譯在注入攻擊

Question

的注入攻擊的OWASP定義說， - 當不可信數據被髮送到一個解釋作爲命令或查詢的一部分

注射的缺陷，如SQL，OS和LDAP注射發生。攻擊者的敵對數據可能會誘使解釋器執行意外的命令或在未經適當授權的情況下訪問數據。

解釋器在每種情況下的含義是什麼（LDAP，OS，SQL等）？所有類型的注入攻擊都需要解釋器，如XML，XPath，HTTP等？

Answer 1

是，代碼注入攻擊的本質是攻擊者的技巧應用到運行一些代碼語句不屬於該應用程序的預期功能的一部分。

這意味着必須有某種機制來解析和應用的擁有者之前執行包含在攻擊者的有效載荷的惡意代碼可以阻止它。

從理論上講，一個應用程序可以編譯代碼，並自動運行它，但它是更常見的這種類型的攻擊，以使用未編譯的惡意代碼，但在運行時被解釋。

你的其它實例中，XML，的XPath，HTTP，通常不與代碼注入相關聯。

• XML不是代碼，它是一種數據格式。
• HTTP不是代碼，這是一個協議。
• XPath是有點像代碼，而是一個非常特殊類型的代碼。這是一種識別XML文檔中元素的表達式語言。它的功能有限，因此它不是代碼注入攻擊的常用向量。