| Begriff |
SQL-Injektionsangriff (SQL Injection) |
| Abkürzung |
|
| Synonyme/Aliase |
|
Erläuterung des Begriffs
SQL-Injektionsangriff (SQL Injection)
Ein SQL-Injektionsangriff (SQL Injection) bedeutet, dass es einem Angreifer gelingt, SQL-Befehle, die eine Anwendung verwendet, zu verändern oder durch eigene Befehle zu ersetzen, um dadurch von dem Entwickler der Anwendung nicht gewünschte Befehle auf der Datenbank auszuführen. Möglich ist dieser Angriff, wenn ihre Anwendung Benutzereingaben oder sonstige ungeschützte Informationen (z.B. URL-Parameter oder unverschlüsselte Cookies) als Eingabeparameter in SQL-Befehlen verwendet.
Angriffsbeispiel
Ein typisches Beispiel ist ein SQL-Befehl wie
SELECT * FROM Benutzer WHERE BName = '" + Name.Text + "' and BKennwort = '" + Kenn-wort.Text + "'"
mit dem geprüft werden soll, ob es die angegebene Kombination aus Benutzername und Kennwort in der Datenbank gibt, mit der gleichzeitig Daten über die betreffenden Benutzer abgerufen werden.
Benutzername und Kennwort werden üblicherweise in einem Anmeldedialog von dem Endbenutzer einge-geben. Die beiden folgenden Bildschirmdarstellungen zeigen zwei mögliche Eingaben. In beiden Fällen wird das Kennwort absichtlich in diesen Bildschirmdarstellungen offen angezeigt.
Eine Eingabe wie
' or 1=1 --
stellt einen Angriff in Form einer SQL Injection dar.
Daraus entsteht beim Zusammenbau des SQL-Befehls folgende Anweisung
SELECT * FROM Benutzer WHERE BName = 'HS' and BKennwort = ' ' or 1=1 -- '
Dieser SQL-Befehl wird immer alle Datensätze, die es für den Benutzer »HS« gibt, zurückliefern, da der Ausdruck 1=1 immer wahr ist. Das Ergebnis ist, dass der Benutzer erfolgreich angemeldet werden kann, obwohl er das richtige Kennwort gar nicht kennt. Die beiden Striche am Ende der Eingabe des Angreifers sind Kommentarzeichen und sorgen dafür, dass der Rest des ursprünglichen SQL-Befehls ignoriert wird.
Ein Angreifer könnte auch auf diese Weise noch viel gefährlichere SQL-Befehle ein-schleusen, z.B.
'; DROP TABLE Benutzer –
Schutz vor SQL-Injektionsangriffen
Gegen solche SQL-Injektionsangriffe schützt man sich durch zwei Maßnahmen:
- Verwendung parametrisierter Abfragen und der Parameters-Menge anstelle des Zusammenbaus von SQL-Befehlen aus Zeichenketten
- Filtern aller potentiell gefährlichen Zeichen, insbesondere des einfachen Anführungszeichens, aus der Eingabe
Grundsätzlich reicht eine der beiden Maßnahmen. Getreu dem Motto »Sicher-ist-Sicher« kann aber auch die Verwendung beider Maßnahmen nicht schaden.
Querverweise zu anderen Begriffen im Lexikon
SQL-Injektionsangriff
Datenbank
|
Dienstleistungen:
Beratung/Consulting zu SQL-Injektionsangriff (SQL Injection)
Support zu SQL-Injektionsangriff (SQL Injection)
Schulungen zu diesem Thema:
In unserem umfangreichen Schulungsmodulkatalog haben wir keinen Eintrag zum Thema SQL-Injektionsangriff (SQL Injection) gefunden. Das heißt aber nicht, dass wir Ihnen keine Schulung dazu anbieten können! ggf. ist dieses Stichwort anders in unserem Katalog erfasst. Selbst wenn das Thema bisher nicht in unserem Katalog erscheint, können wir dazu über Partner Schulungen anbieten. Bitte stellen Sie eine unverbindliche Seminaranfrage oder rufen Sie uns an unter +49 201 7490700!
|