SQL Injection - Versionsgeschichte

Lustiger seth: linkfix

2008-04-09T22:50:47Z

linkfix

← Nächstältere Version		Version vom 10. April 2008, 00:50 Uhr
Zeile 1:		Zeile 1:
	#REDIRECT [[SQL-~~Injektion~~]]		#REDIRECT [[SQL-Injection]]

84.163.104.27: AZ: Weiterleitung nach SQL-Injektion erstellt

2007-11-13T15:35:25Z

AZ: Weiterleitung nach SQL-Injektion erstellt

← Nächstältere Version		Version vom 13. November 2007, 17:35 Uhr
Zeile 1:		Zeile 1:
	#REDIRECT [[~~SQL_Injektion~~]]		#REDIRECT [[SQL-Injektion]]

84.163.104.27: AZ: Weiterleitung nach SQL Injektion erstellt

2007-11-13T15:34:26Z

AZ: Weiterleitung nach SQL Injektion erstellt

← Nächstältere Version		Version vom 13. November 2007, 17:34 Uhr
Zeile 1:		Zeile 1:
	#REDIRECT [[~~SQL-Injektion~~]]		#REDIRECT [[SQL_Injektion]]

LuckyStarr: redirect auf SQL-Injektion

2004-07-12T10:40:09Z

redirect auf SQL-Injektion

← Nächstältere Version		Version vom 12. Juli 2004, 12:40 Uhr
Zeile 1:		Zeile 1:
			#REDIRECT [[SQL-Injektion]]
	'''SQL Injection''' (zu deutsch deutsch ''SQL Injektion'') bezeichnet das Ausnutzen einer [[Computersicherheit]]s-Lücke. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, [[SQL]] Statments einzufügen.

	Oft zu finden sind [[SQL]] Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig. Es wird versucht, weitere SQL Anforderungen einzuschleußen oder die Abfragen so zu manipulieren, dass man zusätzliche Daten erhält. Manche Datenbanksysteme bieten auch die Möglichkeit Zugriff auf eine Shell zu erhalten, womit der ganze Server kompromitierbar wird.

	SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] mit [[Fluchtzeichen]] zu versehen. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.

	== Beispiele ==

	Auf einem [[Webserver]] findet sich ein Script zum Anzeigen von Artikeln:

	http://webserver/cgi-bin/find.cgi?ID=42

	Dieses Script führt folgende SQL Abfrage aus:

	SELECT text FROM WHERE artikel ID=42

	Ruft nun ein Angreifer folgende [[URL]] ab

	http://webserver/find.cgi?ID=42;UPDATE%20USER%20SET%20TYPE="admin"%20WHERE%20ID=23

	Führt das Script zwei Anweisungen aus:


	SELECT text FROM artikel WHERE ID=42; UPDATE user set type="admin" where id=23

	SQL Injection kann leicht durch bereits vorhandene Funktion verhindert werden. In [[Java (Programmiersprache)\|Java]] wird zu diesem Zweck die ''PreparedStatement'' Klasse verwendet.

	Anstatt

	Connection con = (acquire Connection)
	Statement stmt = con.createStatement();
	ResultSet rset = stmt.executeQuery("SELECT * FROM users WHERE name = '" + userName + "';");

	sollte folgendes verwendet werden

	Connection con = (acquire Connection)
	PreparedStatement pstmt = con.prepareStatement("SELECT * FROM users WHERE name = ?");
	pstmt.setString(1, userName);
	ResultSet rset = stmt.executeQuery();


	In [[PHP]] wird zu diesem Zweck die Funktion [http://www.php-homepage.de/manual/function.mysql-escape-string.php mysql_escape_string()] verwendet.

	Anstatt

	$abfrage = "SELECT loginname, password FROM users WHERE loginname = '".$_POST['loginname']."'";
	$query = @mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!");

	sollte folgendes verwendet werden

	$abfrage = "SELECT loginname, password, rights FROM members WHERE loginname = '".mysql_escape_string($_POST['loginname'])."'";
	$query = @mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!");


	''Siehe auch'' [[Cross-Site Scripting]]

	== Weblinks ==

	* [http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf Beginning SQL Injection Attacks]
	* [http://www.derkeiler.com/Mailing-Lists/securityfocus/secprog/2001-07/0001.html Abusing Poor Programming Techniques in Webserver Scripts via SQL Injection]
	* [http://www.nextgenss.com/papers/advanced_sql_injection.pdf Advanced SQL Injection Attacks]

	[[en:SQL Injection]]

Zwobot: Head - Bot-unterstützte Begriffsklärung: Java

2004-06-03T19:59:33Z

Head - Bot-unterstützte Begriffsklärung: Java

← Nächstältere Version		Version vom 3. Juni 2004, 21:59 Uhr
Zeile 24:		Zeile 24:
	SELECT text FROM artikel WHERE ID=42; UPDATE user set type="admin" where id=23		SELECT text FROM artikel WHERE ID=42; UPDATE user set type="admin" where id=23

	SQL Injection kann leicht durch bereits vorhandene Funktion verhindert werden. In [[Java]] wird zu diesem Zweck die ''PreparedStatement'' Klasse verwendet.		SQL Injection kann leicht durch bereits vorhandene Funktion verhindert werden. In [[Java (Programmiersprache)\|Java]] wird zu diesem Zweck die ''PreparedStatement'' Klasse verwendet.

	Anstatt		Anstatt

217.148.12.9 am 27. Mai 2004 um 15:48 Uhr

2004-05-27T15:48:41Z

@@ Zeile 38: / Zeile 38: @@
     pstmt.setString(1, userName);
     ResultSet rset = stmt.executeQuery();
 ''Siehe auch'' [[Cross-Site Scripting]]

Sprezzatura: Fomatierung, Typo

2004-05-27T13:09:46Z

Fomatierung, Typo

← Nächstältere Version		Version vom 27. Mai 2004, 15:09 Uhr
Zeile 1:		Zeile 1:
		⚫	'''SQL Injection''' (zu deutsch deutsch ''SQL Injektion'') bezeichnet das Ausnutzen einer [[Computersicherheit]]s-Lücke. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, [[SQL]] Statments einzufügen.
	== Definition ==
⚫	'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit~~\|Computersicherheits-Lücke~~]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, [[SQL]] Statments einzufügen.

	Oft zu finden sind [[SQL]] Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig. Es wird versucht, weitere SQL Anforderungen einzuschleußen oder die Abfragen so zu manipulieren, dass man zusätzliche Daten erhält. Manche Datenbanksysteme ~~bietet~~ auch die Möglichkeit Zugriff auf eine Shell zu erhalten, womit der ganze Server ~~kompormmitierbar~~ wird.		Oft zu finden sind [[SQL]] Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig. Es wird versucht, weitere SQL Anforderungen einzuschleußen oder die Abfragen so zu manipulieren, dass man zusätzliche Daten erhält. Manche Datenbanksysteme bieten auch die Möglichkeit Zugriff auf eine Shell zu erhalten, womit der ganze Server kompromitierbar wird.

	SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[~~Escaping\|escapen~~]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.		SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] mit [[Fluchtzeichen]] zu versehen. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.

	== ~~Beispiel~~ ==		== Beispiele ==

	Auf einem [[Webserver]] findet sich ein Script zum Anzeigen von Artikeln:		Auf einem [[Webserver]] findet sich ein Script zum Anzeigen von Artikeln:

	<pre>
	http://webserver/cgi-bin/find.cgi?ID=42		http://webserver/cgi-bin/find.cgi?ID=42

	</pre>
	Dieses Script führt folgende SQL Abfrage aus:		Dieses Script führt folgende SQL Abfrage aus:

	<pre>
	SELECT text FROM WHERE artikel ID=42		SELECT text FROM WHERE artikel ID=42
	</pre>

	Ruft nun ein Angreifer folgende [[URL]] ab		Ruft nun ein Angreifer folgende [[URL]] ab

	<pre>
	http://webserver/find.cgi?ID=42;UPDATE%20USER%20SET%20TYPE="admin"%20WHERE%20ID=23		http://webserver/find.cgi?ID=42;UPDATE%20USER%20SET%20TYPE="admin"%20WHERE%20ID=23

	</pre>
	Führt das Script zwei Anweisungen aus:		Führt das Script zwei Anweisungen aus:
	<pre>
⚫	SELECT text FROM artikel WHERE ID=42; UPDATE user set type="admin" where id=23
	</pre>


⚫	SQL Injection kann leicht durch bereits vorhandene Funktion verhindert werden. In [[Java]], ~~das~~ PreparedStatement Klasse ~~verwenden~~.
		⚫	SELECT text FROM artikel WHERE ID=42; UPDATE user set type="admin" where id=23

		⚫	SQL Injection kann leicht durch bereits vorhandene Funktion verhindert werden. In [[Java]] wird zu diesem Zweck die ''PreparedStatement'' Klasse verwendet.

	Anstatt		Anstatt

	<pre>
	Connection con = (acquire Connection)		Connection con = (acquire Connection)
	Statement stmt = con.createStatement();		Statement stmt = con.createStatement();
	ResultSet rset = stmt.executeQuery("SELECT * FROM users WHERE name = '" + userName + "';");		ResultSet rset = stmt.executeQuery("SELECT * FROM users WHERE name = '" + userName + "';");
	</pre>

	sollte folgendes verwendet werden		sollte folgendes verwendet werden
	<pre>
⚫	Connection con = (acquire Connection)
⚫	PreparedStatement pstmt = con.prepareStatement("SELECT * FROM users WHERE name = ?");
⚫	pstmt.setString(1, userName);
⚫	ResultSet rset = stmt.executeQuery();
	</pre>

		⚫	Connection con = (acquire Connection)
	== siehe auch ==
		⚫	PreparedStatement pstmt = con.prepareStatement("SELECT * FROM users WHERE name = ?");
⚫	* [[Cross-Site Scripting]]
		⚫	pstmt.setString(1, userName);
		⚫	ResultSet rset = stmt.executeQuery();

		⚫	''Siehe auch'' [[Cross-Site Scripting]]

	== Weblinks ==		== Weblinks ==

	* [http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf Beginning SQL Injection Attacks]		* [http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf Beginning SQL Injection Attacks]
	* [http://www.derkeiler.com/Mailing-Lists/securityfocus/secprog/2001-07/0001.html Abusing Poor Programming Techniques in Webserver Scripts via SQL Injection]		* [http://www.derkeiler.com/Mailing-Lists/securityfocus/secprog/2001-07/0001.html Abusing Poor Programming Techniques in Webserver Scripts via SQL Injection]

Fabian Bieker: fixed messup

2004-05-27T12:19:47Z

fixed messup

← Nächstältere Version		Version vom 27. Mai 2004, 14:19 Uhr
Zeile 1:		Zeile 1:
	== Definition ==		== Definition ==
	'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit\|Computersicherheits-Lücke]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, SQL Statments einzufügen.		'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit\|Computersicherheits-Lücke]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, [[SQL]] Statments einzufügen.

	Oft zu finden sind SQL Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig.		Oft zu finden sind [[SQL]] Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig. Es wird versucht, weitere SQL Anforderungen einzuschleußen oder die Abfragen so zu manipulieren, dass man zusätzliche Daten erhält. Manche Datenbanksysteme bietet auch die Möglichkeit Zugriff auf eine Shell zu erhalten, womit der ganze Server kompormmitierbar wird.

	SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[Escaping\|escapen]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.		SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[Escaping\|escapen]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.

Fabian Bieker: etwas erweitert

2004-05-27T08:45:32Z

etwas erweitert

← Nächstältere Version		Version vom 27. Mai 2004, 10:45 Uhr
Zeile 1:		Zeile 1:
	== Definition ==		== Definition ==
	'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit\|Computersicherheits-Lücke]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, [[SQL]] Statments einzufügen.		'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit\|Computersicherheits-Lücke]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, SQL Statments einzufügen.

	Oft zu finden sind [[SQL]] Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig. Es wird versucht, weitere SQL Anforderungen einzuschleußen oder die Abfragen so zu manipulieren, dass man zusätzliche Daten erhält. Manche Datenbanksysteme bietet auch die Möglichkeit Zugriff auf eine Shell zu erhalten, womit der ganze Server kompormmitierbar wird.		Oft zu finden sind SQL Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig.

	SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[Escaping\|escapen]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.		SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[Escaping\|escapen]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.

Fabian Bieker: etwas erweitert

2004-05-27T08:43:38Z

etwas erweitert

← Nächstältere Version		Version vom 27. Mai 2004, 10:43 Uhr
Zeile 1:		Zeile 1:
	== Definition ==		== Definition ==
	'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit\|Computersicherheits-Lücke]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, SQL Statments einzufügen.		'''SQL Injection''' (''deutsch'' SQL Injektion) bezeichnet das Ausnutzen einer [[Computersicherheit\|Computersicherheits-Lücke]]. Der Angreifer versucht [[SQL]] Abfragen zu manipulieren. Hierzu wird über die Applikation, die den Zugriff auf die [[Datenbank]] bereitstellt, [[SQL]] Statments einzufügen.

	Oft zu finden sind SQL Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig.		Oft zu finden sind [[SQL]] Injection Lücken in [[CGI]] Scripten, aber auch Programme die andere Daten, etwa Webseiteninhalte oder [[E-Mail]]s in SQL Datenbanken eintragen sind anfällig. Es wird versucht, weitere SQL Anforderungen einzuschleußen oder die Abfragen so zu manipulieren, dass man zusätzliche Daten erhält. Manche Datenbanksysteme bietet auch die Möglichkeit Zugriff auf eine Shell zu erhalten, womit der ganze Server kompormmitierbar wird.

	SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[Escaping\|escapen]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.		SQL Injection Bugs treten auf, wenn eine Applikation SQL Abfragen an den Server weiterreicht, ohne benutzerveränderbare [[Parameter]] zu [[Escaping\|escapen]]. So sollten z.B. die Zeichen ' ; " durch \' \; \" ersetzt werden.