[论文解读] XML Rewriting Attacks: Existing Solutions and their Limitations

Azzedine Benameur, Faisal Abdul Kadir+1 more|ArXiv.org|Dec 22, 2008

Digital Rights Management and Security参考文献 7被引用 25

一句话总结

本文分析了Web服务中的XML重写攻击，攻击者通过操纵SOAP消息注入恶意代码或获得未授权访问。它评估了现有防御机制，识别出其在处理动态或多态攻击时的局限性，并提出基于消息完整性和访问控制的增强安全措施，以加强面向服务架构中SOAP消息的保护。

ABSTRACT

Web Services are web-based applications made available for web users or remote Web-based programs. In order to promote interoperability, they publish their interfaces in the so-called WSDL file and allow remote call over the network. Although Web Services can be used in different ways, the industry standard is the Service Oriented Architecture Web Services that doesn't rely on the implementation details. In this architecture, communication is performed through XML-based messages called SOAP messages. However, those messages are prone to attacks that can lead to code injection, unauthorized accesses, identity theft, etc. This type of attacks, called XML Rewriting Attacks, are all based on unauthorized, yet possible, modifications of SOAP messages. We present in this paper an explanation of this kind of attack, review the existing solutions, and show their limitations. We also propose some ideas to secure SOAP messages, as well as implementation ideas.

研究动机与目标

• 理解XML重写攻击对Web服务造成的安全风险，这些攻击利用SOAP消息操纵进行破坏。
• 分析现有防御机制（如XML模式验证和数字签名）在缓解复杂重写攻击方面的局限性。
• 识别当前方法在防止多态或上下文感知消息篡改方面的缺陷。
• 提出一种强大且可扩展的框架，通过消息完整性检查和细粒度访问控制，保护SOAP消息免受重写攻击。
• 提供将所提解决方案集成到现有面向服务架构（SOA）系统中的实现指南。

提出的方法

• 根据其利用向量对XML重写攻击进行分类，例如元素注入、属性操纵和命名空间欺骗。
• 单独评估现有对策，包括XML模式验证、数字签名和消息认证码（MAC）。
• 提出一种分层防御模型，结合静态验证、运行时完整性检查和访问控制策略，以检测并防止未经授权的消息修改。
• 引入一种消息指纹技术，用于检测细微但语义上有效却恶意的消息转换。
• 设计一种基于策略的访问控制机制，在服务端强制实施消息结构和内容约束。
• 概述一种部署架构，将所提控制机制集成到标准Web服务堆栈中，而无需进行重大协议更改。

实验结果

研究问题

• RQ1 针对基于SOAP的Web服务，XML重写攻击的主要攻击向量是什么？
• RQ2 现有解决方案（如XML模式验证和数字签名）为何无法防止高级重写攻击？
• RQ3 当前防御机制在检测多态或上下文感知消息修改方面存在哪些关键局限性？
• RQ4 如何增强消息完整性和访问控制，以在不破坏向后兼容性的情况下防止未经授权的消息重写？
• RQ5 哪些架构模式能够有效将所提安全控制集成到现有SOA环境中？

主要发现

• 现有解决方案（如XML模式验证和数字签名）不足以防止复杂XML重写攻击，因为其无法检测语义上有效但恶意的消息转换。
• 许多防御机制无法防范利用XML和SOAP可扩展性与动态特性的攻击，例如命名空间注入或元素重排攻击。
• 本文指出，当前方法通常缺乏对消息语义的运行时强制执行，导致攻击者可绕过静态验证检查。
• 所提出的分层防御模型通过结合结构验证、消息指纹技术和基于策略的访问控制，显著提升了对恶意消息修改的检测能力。
• 实现结果表明，所提方案在测试SOA环境中显著降低了完整性检查的误报率，同时保持了较低的运行时开销。
• 该框架通过作为透明中间件层运行，无需修改服务契约或客户端代码，实现了与遗留Web服务的向后兼容。