Emulação de Ataques do Tipo XPath Injection para Testes de Web Services usando Injeção de Falhas

Abstract

Este artigo descreve o uso de um injetor de falhas para emular ataques de tipo XPath Injection para testar a segurança de Web Services. XPath Injection é um dos ataques de injeção, que são dos mais explorados, além de serem considerados como um dos mais perigosos, quando são bem sucedidos. Um dos padrões para garantir a segurança no contexto de Web Services é o WS-Security (WSS), o qual, entre outros mecanismos, utiliza credenciais de segurança (Security Tokens) para garantir o controle de acesso às mensagens trocadas entre serviços. Os resultados mostraram que o uso desse mecanismo melhora a detecção de XPath Injection, mas ainda não é suficiente para garantir 100% de proteção contra esse tipo de ataque.