command - SPARQL 本地文件包括 (LFI) 和远程命令执行 (RCE)

Question

我正在使用 GraphDB 测试一个应用程序，我在 SPARQL 请求中发现了很多注入。关于 SPARQL 注入的信息很少，我也不太了解这种 DB 语言。有谁知道是否可以在 SPARQL 中包含文件或执行命令（就像使用 SQL 一样）？

谢谢你。

Answer 1

SPARQL 查询和 SPARQL 更新是不同的语言。

SPARQL 更新作为 SPARQL 查询语法无效。

从调用的端点 URL 或 HTTP 请求内容类型中可以清楚地看出操作类型（查询或更新）。

在 W3C 标准 SPARQL 中，没有“调用”执行运算符。

SPARQL 确实允许扩展功能——这取决于实现。它们应该是函数（没有副作用），但当然这取决于实现。

SPARQL 查询实现可以使用 FROM/FROM NAMED 读取外部数据。大多数实现都没有；他们从本地数据集中获取图表。