SQL Injection - Versionsgeschichte

Kowa am 16. August 2016 um 09:16 Uhr

2016-08-16T09:16:40Z

← Nächstältere Version		Version vom 16. August 2016, 09:16 Uhr
Zeile 2:		Zeile 2:
	\|correctness = 0		\|correctness = 0
	\|extent = 4		\|extent = 4
	\|numberOfReferences = 5		\|numberOfReferences = 4
	\|qualityOfReferences = 2		\|qualityOfReferences = 2
	\|conformance = 3		\|conformance = 3

Kowa am 16. August 2016 um 09:16 Uhr

2016-08-16T09:16:05Z

← Nächstältere Version		Version vom 16. August 2016, 09:16 Uhr
Zeile 1:		Zeile 1:
	{{Qualität		{{Qualität
	\|correctness = 2		\|correctness = 0
	\|extent = 4		\|extent = 4
	\|numberOfReferences = 5		\|numberOfReferences = 5

Kowa am 16. August 2016 um 09:15 Uhr

2016-08-16T09:15:47Z

← Nächstältere Version		Version vom 16. August 2016, 09:15 Uhr
Zeile 8:		Zeile 8:

	==Definition==		==Definition==
	~~Wird~~ eingesetzt, um Content Management Systeme mit SQL-Datenbank-Anbindung anzugreifen. SQL Injection wird erst durch Ausnutzen		[[SQL Injection]] wird eingesetzt, um Content-Management-Systeme mit SQL-Datenbank-Anbindung anzugreifen. SQL Injection wird erst durch Ausnutzen
	einer Sicherheitslücke möglich, die durch mangelnde Maskierung bzw. Überprüfung in Benutzereingaben entsteht.~~<br>~~		einer Sicherheitslücke möglich, die durch mangelnde Maskierung bzw. Überprüfung in Benutzereingaben entsteht.

	Zählt zu den aktiven Angriffen und wird eingesetzt um empfindliche Daten zu stehlen oder gar die Kontrolle über den angegriffenen		Zählt zu den aktiven Angriffen und wird eingesetzt um empfindliche Daten zu stehlen oder gar die Kontrolle über den angegriffenen
Zeile 19:		Zeile 19:
	Maskierung könnte man eine SQL Abfrage wie folgt manipulieren. Zu sehen ist nun eine Login-Abfrage in SQL.		Maskierung könnte man eine SQL Abfrage wie folgt manipulieren. Zu sehen ist nun eine Login-Abfrage in SQL.
	<pre>		<pre>
	SELECT * FROM users WHERE name ='$username' AND password ='$password'		SELECT * FROM users WHERE name ='$username' AND password ='$password'</pre>
	</pre>
	In das Login-Feld könnte folgendes statt einem korrekten Login-Namen eingetragen werden:<br>		In das Login-Feld könnte folgendes statt einem korrekten Login-Namen eingetragen werden:<br>
	"admin'--"<br>		"admin'--"<br>
	Wenn diese Eingabe ungefiltert in die obige SQL-Abfrage eingetragen wird, sieht der zu verarbeitende Befehl nun wie folgt aus:<br>		Wenn diese Eingabe ungefiltert in die obige SQL-Abfrage eingetragen wird, sieht der zu verarbeitende Befehl nun wie folgt aus:<br>
	<pre>		<pre>
	SELECT * FROM users WHERE name ='admin'--' AND password ='beliebig'.~~<br>~~		SELECT * FROM users WHERE name ='admin'--' AND password ='beliebig'.</pre>
	</pre>
	Da -- in SQL als Kommentarzeichen gewertet wird, wird also nur noch<br>		Da -- in SQL als Kommentarzeichen gewertet wird, wird also nur noch<br>
	<pre>		<pre>
	SELECT * FROM users WHERE name ='admin'~~<br>~~		SELECT * FROM users WHERE name ='admin'</pre>
	</pre>		verarbeitet. Das heißt,. es wird ein einem Angreifer ein passwortloser Zugang zum Server gewährt, da es nicht mehr notwendig ist,
	verarbeitet. ~~D.h~~. es wird ein einem Angreifer ein passwortloser Zugang zum Server gewährt, da es nicht mehr notwendig ist,
	ein Passwort einzugeben. Der Angreifer muss nur einen Benutzernamen kennen oder diesen erraten.<br>		ein Passwort einzugeben. Der Angreifer muss nur einen Benutzernamen kennen oder diesen erraten.<br>
	Diese Art der SQL Injection ist zwar simpel, aber anscheinend immer noch aktuell da, laut [[Rütten, Glemser (2006)]], 2006 das T-Online Karriereform		Diese Art der SQL Injection ist zwar simpel, aber anscheinend immer noch aktuell da, laut [[Rütten, Glemser (2006)]], 2006 das T-Online Karriereform
Zeile 42:		Zeile 39:
	mit den Endungen ".asp" und ".cmf" gesucht, da hier die meisten Probleme zu erwarten sind [[Rütten, Glemser (2006)]]. Um die Anfälligkeit der so		mit den Endungen ".asp" und ".cmf" gesucht, da hier die meisten Probleme zu erwarten sind [[Rütten, Glemser (2006)]]. Um die Anfälligkeit der so
	ausgewählten Seite auf SQL Injection zu prüfen, gibt es zwei Möglichkeit (beide sollten ausprobiert werden).<br>		ausgewählten Seite auf SQL Injection zu prüfen, gibt es zwei Möglichkeit (beide sollten ausprobiert werden).<br>


	Der Code kann möglicherweise über die Parameter der URL injiziert werden z.B. bei http://www.seite.com/artikelid.asp?512 über		Der Code kann möglicherweise über die Parameter der URL injiziert werden z.B. bei http://www.seite.com/artikelid.asp?512 über
	die Zahl 512		die Zahl 512.


	Bei der ersten Variante wird der komplette Wert durch ein einfaches Anführungszeichen ausgetauscht,		Bei der ersten Variante wird der komplette Wert durch ein einfaches Anführungszeichen ausgetauscht,
	d.h. aus „name=value“ wird „name=’“ . Die zweite Variante verlangt das Setzen des		d.h., aus „name=value“ wird „name=’“ . Die zweite Variante verlangt das Setzen des
	Anführungszeichens in die Mitte von „value“, so dass anschließend eine Parameterübergabe so		Anführungszeichens in die Mitte von „value“, so dass anschließend eine Parameterübergabe so
	aussieht: „name=val’ue“.		aussieht: „name=val’ue“.
Zeile 64:		Zeile 59:
	’51 ORDER BY some_name’.		’51 ORDER BY some_name’.

	/some_directory/some_file.asp, line 5		/some_directory/some_file.asp, line 5</pre>
	</pre>

	<b>Fehlermeldungsart 2:</b>		<b>Fehlermeldungsart 2:</b>
Zeile 71:		Zeile 65:
	ODBC Error Code = S1000 (General error)		ODBC Error Code = S1000 (General error)

	[Oracle][ODBC][Ora]ORA-00933: SQL command not properly ended		[Oracle][ODBC][Ora]ORA-00933: SQL command not properly ended</pre>
	</pre>
	Wie auch schon im Kapitel 2.4 beschrieben wurde, kann die gesuchte Fehlermeldung im HTML		Wie auch schon im Kapitel 2.4 beschrieben wurde, kann die gesuchte Fehlermeldung im HTML
	Code liegen ohne angezeigt zu werden. Deswegen muss also auch der Code angesehen werden.		Code liegen ohne angezeigt zu werden. Deswegen muss also auch der Code angesehen werden.
Zeile 81:		Zeile 74:
	<i>Beispiel nach [[B. Sullivan]].</i>		<i>Beispiel nach [[B. Sullivan]].</i>

	=Gegenmaßnahmen=		==Gegenmaßnahmen==

	SQL bietet eigene Möglichkeiten, um sich vor SQL-Injection-Angriffen zu schützen, wie z.B. [[Stored Procedure]]s und		SQL bietet eigene Möglichkeiten, um sich vor SQL-Injection-Angriffen zu schützen, wie z.B. [[Stored Procedure]]s und
Zeile 89:		Zeile 82:
	SQL-Injection-Bruteforcer „SQLLibf“, das mittels Brute-Force-Angriffen die dynamischen Variablen einer		SQL-Injection-Bruteforcer „SQLLibf“, das mittels Brute-Force-Angriffen die dynamischen Variablen einer
	Seite auf Schwachstellen testet.		Seite auf Schwachstellen testet.

	~~<i>(Weitere Tools dieser Art können bei www.astalavista.com gefunden werden.)</i>~~

	Da der Mensch allerdings gerade bei destruktiven Aufgaben weit		Da der Mensch allerdings gerade bei destruktiven Aufgaben weit
Zeile 96:		Zeile 87:
	Sicherheit garantieren. So ist zu empfehlen Datenbankabfragen korrekt zu formulieren. Einige		Sicherheit garantieren. So ist zu empfehlen Datenbankabfragen korrekt zu formulieren. Einige
	Beispiele (in unterschiedlichen Programmiersprachen), wie man korrekte Abfragen schreibt, sind		Beispiele (in unterschiedlichen Programmiersprachen), wie man korrekte Abfragen schreibt, sind
	in im weiterführenden Link zu finden.~~<br>~~		in im weiterführenden Link zu finden.

	Allgemein lässt sich festhalten, dass es für den Programmierer einer Anwendung nicht reicht,		Allgemein lässt sich festhalten, dass es für den Programmierer einer Anwendung nicht reicht,

Kowa am 16. August 2016 um 09:12 Uhr

2016-08-16T09:12:11Z

← Nächstältere Version		Version vom 16. August 2016, 09:12 Uhr
Zeile 3:		Zeile 3:
	\|extent = 4		\|extent = 4
	\|numberOfReferences = 5		\|numberOfReferences = 5
	\|qualityOfReferences = 5		\|qualityOfReferences = 2
	\|conformance = 4		\|conformance = 3
	}}		}}

	=Definition=		==Definition==
	Wird eingesetzt, um Content Management Systeme mit SQL-Datenbank-Anbindung anzugreifen. SQL Injection wird erst durch Ausnutzen		Wird eingesetzt, um Content Management Systeme mit SQL-Datenbank-Anbindung anzugreifen. SQL Injection wird erst durch Ausnutzen
	einer Sicherheitslücke möglich, die durch mangelnde Maskierung bzw. Überprüfung in Benutzereingaben entsteht.<br>		einer Sicherheitslücke möglich, die durch mangelnde Maskierung bzw. Überprüfung in Benutzereingaben entsteht.<br>
Zeile 15:		Zeile 15:
	Parameter einer URL an die Webseite weitergereicht werden.<br>		Parameter einer URL an die Webseite weitergereicht werden.<br>

	=Beispiel=		==Beispiel==
	Laut [[Rütten, Glemser (2006)]] treten bei .asp und .cfm Skripten am häufigsten Probleme auf, die eine SQL Injection ermöglichen. Bei mangelnder		Laut [[Rütten, Glemser (2006)]] treten bei .asp und .cfm Skripten am häufigsten Probleme auf, die eine SQL Injection ermöglichen. Bei mangelnder
	Maskierung könnte man eine SQL Abfrage wie folgt manipulieren. Zu sehen ist nun eine Login-Abfrage in SQL.		Maskierung könnte man eine SQL Abfrage wie folgt manipulieren. Zu sehen ist nun eine Login-Abfrage in SQL.
Zeile 36:		Zeile 36:
	so einen passwortlosen Zugang erlaubte.<br>		so einen passwortlosen Zugang erlaubte.<br>

	=Durchführung=		==Durchführung==

	Natürlich ist eine Anwendung die keine Parameter an eine SQL Datenbank übergibt auch nicht gegen SQL Injection anfällig.		Natürlich ist eine Anwendung die keine Parameter an eine SQL-Datenbank übergibt auch nicht gegen SQL Injection anfällig.
	Deswegen werden also nur die Webseiten untersucht, die diese mögliche Schwachstelle haben. Vorzugsweise werden dabei Skriptaufrufe		Deswegen werden also nur die Webseiten untersucht, die diese mögliche Schwachstelle haben. Vorzugsweise werden dabei Skriptaufrufe
	mit den Endungen ".asp" und ".cmf" gesucht, da hier die meisten Probleme zu erwarten sind [[Rütten, Glemser (2006)]]. Um die Anfälligkeit der so		mit den Endungen ".asp" und ".cmf" gesucht, da hier die meisten Probleme zu erwarten sind [[Rütten, Glemser (2006)]]. Um die Anfälligkeit der so
Zeile 116:		Zeile 116:
	Vermischung dieser beiden Filterarten ist möglich.		Vermischung dieser beiden Filterarten ist möglich.

	=Quellen=		==Quellen==

	* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}		* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}
Zeile 122:		Zeile 122:
	* {{Quelle\|Rütten, Glemser (2006)}}		* {{Quelle\|Rütten, Glemser (2006)}}
	* {{Quelle\|Ziegler (2007)}}		* {{Quelle\|Ziegler (2007)}}
	* [[~~Quelle::~~Wikipedia:SQL-Injektion]]		* [[Wikipedia:SQL-Injektion]]
	* Security Hacks. Abfragedatum: 24.Mai 2007. http://www.security-hacks.com/2007/05/18/top-15-free-sql-injection-scanners<br>		* Security Hacks. Abfragedatum: 24.Mai 2007. http://www.security-hacks.com/2007/05/18/top-15-free-sql-injection-scanners<br>
	* Astalavista Group. Abfragedatum: 24.Mai 2007. http://www.astalavista.com		* Astalavista Group. Abfragedatum: 24.Mai 2007. http://www.astalavista.com
Zeile 128:		Zeile 128:
	* heise Security news – Sparkassen schlampen bei Online-Banking-Sicherheit. Heise Zeitschriften Verlag. Abfragedatum: 24.Mai 2007. http://www.heise.de/security/news/meldung/89885		* heise Security news – Sparkassen schlampen bei Online-Banking-Sicherheit. Heise Zeitschriften Verlag. Abfragedatum: 24.Mai 2007. http://www.heise.de/security/news/meldung/89885

	=Siehe auch=		==Siehe auch==

	*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&oldid=32572015 Wikipedia: Beispielliste mit sicheren Datenbankabfragen in unterschiedlichen Programmiersprachen]		*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&oldid=32572015 Wikipedia: Beispielliste mit sicheren Datenbankabfragen in unterschiedlichen Programmiersprachen]

Kowa am 22. Juni 2013 um 10:29 Uhr

2013-06-22T10:29:39Z

← Nächstältere Version		Version vom 22. Juni 2013, 10:29 Uhr
Zeile 1:		Zeile 1:
			{{Qualität
			\|correctness = 2
			\|extent = 4
			\|numberOfReferences = 5
			\|qualityOfReferences = 5
			\|conformance = 4
			}}

	=Definition=		=Definition=
	Wird eingesetzt, um Content Management Systeme mit SQL-Datenbank-Anbindung anzugreifen. SQL Injection wird erst durch Ausnutzen		Wird eingesetzt, um Content Management Systeme mit SQL-Datenbank-Anbindung anzugreifen. SQL Injection wird erst durch Ausnutzen
Zeile 130:		Zeile 138:
	*[[Prepared Statement]]<br>		*[[Prepared Statement]]<br>

			[[Kategorie:Datenmanagement]]
	[[Kategorie:Sicherheit]]		[[Kategorie:Sicherheit]]
	[[Kategorie:Glossar]]		[[Kategorie:Glossar]]

Kowa: /* Siehe auch */

2013-06-21T17:38:00Z

Siehe auch

← Nächstältere Version		Version vom 21. Juni 2013, 17:38 Uhr
Zeile 122:		Zeile 122:
	=Siehe auch=		=Siehe auch=

	*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&oldid=32572015] Beispielliste mit sicheren Datenbankabfragen in unterschiedlichen Programmiersprachen.		*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&oldid=32572015 Wikipedia: Beispielliste mit sicheren Datenbankabfragen in unterschiedlichen Programmiersprachen]
	*[[Cross Site Scripting]]<br>		*[[Cross Site Scripting]]<br>
	*[[Code Injection]]<br>		*[[Code Injection]]<br>

Kowa: /* Siehe auch */

2013-06-21T17:37:07Z

Siehe auch

← Nächstältere Version		Version vom 21. Juni 2013, 17:37 Uhr
Zeile 122:		Zeile 122:
	=Siehe auch=		=Siehe auch=

	*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion~~&diff=33184377~~&oldid=32572015] Beispielliste mit sicheren		*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&oldid=32572015] Beispielliste mit sicheren Datenbankabfragen in unterschiedlichen Programmiersprachen.
	Datenbankabfragen in unterschiedlichen Programmiersprachen.
	*[[Cross Site Scripting]]<br>		*[[Cross Site Scripting]]<br>
	*[[Code Injection]]<br>		*[[Code Injection]]<br>

Kowa: /* Siehe auch */

2013-06-21T17:36:34Z

Siehe auch

← Nächstältere Version		Version vom 21. Juni 2013, 17:36 Uhr
Zeile 122:		Zeile 122:
	=Siehe auch=		=Siehe auch=

			*[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&diff=33184377&oldid=32572015] Beispielliste mit sicheren
			Datenbankabfragen in unterschiedlichen Programmiersprachen.
	*[[Cross Site Scripting]]<br>		*[[Cross Site Scripting]]<br>
	*[[Code Injection]]<br>		*[[Code Injection]]<br>

Kowa: /* Weiterführender Link */

2013-06-21T17:36:17Z

Weiterführender Link

← Nächstältere Version		Version vom 21. Juni 2013, 17:36 Uhr
Zeile 107:		Zeile 107:
	Tags verändert werden. Dabei gibt es das [[Whitelisting]] und das [[Blacklisting]]. Auch eine		Tags verändert werden. Dabei gibt es das [[Whitelisting]] und das [[Blacklisting]]. Auch eine
	Vermischung dieser beiden Filterarten ist möglich.		Vermischung dieser beiden Filterarten ist möglich.

	~~=Weiterführender Link=~~
	~~[[http://de.wikipedia.org/w/index.php?title=SQL-Injektion&diff=33184377&oldid=32572015]] Beispielliste mit sicheren~~
	~~Datenbankabfragen in unterschiedlichen Programmiersprachen.~~

	=Quellen=		=Quellen=

Kowa am 12. September 2011 um 09:51 Uhr

2011-09-12T09:51:07Z

← Nächstältere Version		Version vom 12. September 2011, 09:51 Uhr
Zeile 114:		Zeile 114:
	=Quellen=		=Quellen=

	* [[Quelle::Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications]]		* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}
	* [[Quelle::Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore]]		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* [[Quelle::Rütten, Glemser (2006)]]		* {{Quelle\|Rütten, Glemser (2006)}}
	* [[Quelle::Ziegler (2007)]]		* {{Quelle\|Ziegler (2007)}}
	* [[Quelle::Wikipedia:SQL-Injektion]]		* [[Quelle::Wikipedia:SQL-Injektion]]
	* Security Hacks. Abfragedatum: 24.Mai 2007. http://www.security-hacks.com/2007/05/18/top-15-free-sql-injection-scanners<br>		* Security Hacks. Abfragedatum: 24.Mai 2007. http://www.security-hacks.com/2007/05/18/top-15-free-sql-injection-scanners<br>