XPATH注入有几种？哎呀，这可是个让安全人又爱又恨的话题啊！
嘿，各位看官，今天咱们来聊聊一个既刺激又头疼的话题——XPATH注入到底有几种？说实话，每次碰到这种问题，我都忍不住想拍大腿：这玩意儿怎么就这么能折腾人呢？你说它跟SQL注入是亲戚吧，它又偏偏不走寻常路；你说它冷门吧，可一旦碰上，那真是让你抓耳挠腮、欲哭无泪，别急，今儿个我就带着大家好好捋一捋，看看这XPATH注入到底有哪几种“花活”，咱们一边聊一边乐呵，保证让你听完直呼“原来如此”！
首先啊，咱们得明白一件事儿——XPATH注入，说白了就是攻击者往XML查询语句里塞私货，让程序执行他们想执行的逻辑，这跟SQL注入那兄弟简直是“同门师兄弟”，只不过一个玩的是关系型数据库，一个玩的是XML文档，那问题来了，XPATH注入有几种？从我的经验看，至少能分成两大类，细分起来更是花样百出,咱们慢慢唠。
第一大类，“布尔型盲注”——哎呦，这名字听着就够“盲”的，对吧？这种注入啊，攻击者不会直接看到查询结果，只能通过页面返回的真假来判断自己猜得对不对，你提交一个用户名，后台拿它去拼XPath查询，结果你偷偷塞进去一句' or '1'='1，嘿，如果页面显示“登录成功”，那不就露馅儿了嘛！这种盲注最考验耐心，得像侦探一样一点点试探，就好比你在黑灯瞎火的房间里摸开关，摸得着就是赢，摸不着——那就接着摸呗！我见过不少新手，一遇到布尔盲注就急得直跺脚，嘴里念叨“怎么还不出来”，其实啊，这玩意儿急不得，得用工具，比如Burp Suite或者自己写脚本，慢慢二分探测,那效率才高。
紧跟着第二大类，“报错型注入”——哎呀，这个就“友好”多了！为啥？因为错误信息会直接告诉攻击者“你猜错啦，再来一次”！你输入的内容触发了XPath解析错误，服务器一激动，把完整的错误堆栈都吐出来，那对攻击者来说简直就是“天降甘霖”啊！就像你考试不会做题，结果监考老师直接给你看答案，你说爽不爽？实战中，报错型注入常见于那些把异常信息原封不动返回给前端的网站，这时候，你只需要在注入点塞上一些特殊字符，比如或者，看看报错里有没有XML解析的痕迹，基本上就能判断出个七八分了，不过呢，老话讲得好，“乐极生悲”，有些防火墙也不是吃素的，看到你频繁触发报错，直接给你封IP,那可就欲哭无泪喽！
除了这两大类，其实还有个“进阶版本”——“带外注入”，哎呀妈，这个就高级了！它不靠页面返回，也不靠报错，而是让服务器自己去访问攻击者控制的服务器，把数据“偷偷送出来”，你可以利用doc()函数或者http://协议，让目标服务器发起请求，将查询结果拼接到URL里发给你的服务器，这就好比你在考场外安排了个“内鬼”，让他帮你递小纸条，无声无息，防不胜防！不过呢，这种注入对攻击者的技术门槛要求比较高，你得有独立域名，还得有监听服务，稍微一个配置不对，全盘皆输，我可是见过有人折腾半天，结果发现目标服务器压根没法出网，那叫一个“竹篮打水一场空”啊！
说到这儿，你可能忍不住想问：“哦豁，那实战中怎么判断是哪种类型呢？” 哈哈，问到点子上了！我通常的做法是——先看输入点，再测报错，最后试布尔，举个例子，你往查询参数里加个，如果页面疯狂报错，那就是报错型；如果报错被压住了，但页面内容有细微变化，那就试试布尔盲注；如果啥反应都没有，且你手头有外网服务器，那别犹豫，直接上带外注入，当然啦，每个场景都不一样，有时候还得结合你的“第六感”——安全测试靠什么？恰恰是那股子“不死心”的钻研劲儿！
最后啊，我真是忍不住想多说一句——防御才是硬道理！你问XPATH注入有几种，不如问问“怎么能防住它”，最简单的办法，就是别用字符串拼接XPath，老老实实用参数化查询（比如XQuery变量绑定），或者对用户输入做严格的过滤，比如只允许字母数字和白名单符号，你看，人性化一点儿，系统就安全一点儿,这多好！
好了，今天的唠叨就到这儿了。XPATH注入有几种？至少三种——布尔盲注、报错型注入、带外注入，但话说回来，技术永远在变，攻击手法也在不断翻新，咱们做安全的，得时刻保持好奇心和警惕性，对吧？哎，不说了不说了，我又得去挖下一个注入点了,咱们下回再聊！