StartseiteSoftwareentwicklungSQL-Injections: Gefährliche Lücken in Webanwendungen
SQL-Injections können ein erhebliches Sicherheitsrisiko für Internetseiten darstellen (Bild: flown / pixelio.de)
SQL-Injections können ein erhebliches Sicherheitsrisiko für Internetseiten darstellen (Bild: flown / pixelio.de)

SQL-Injections: Gefährliche Lücken in Webanwendungen

Seite 2 von 4

Was man mit SQL-Injections alles anstellen kann

Was man mit SQL-Injections alles anstellen kann

Die Abfrage oben ist ein sehr simples Beispiel zur Demonstration der Funktionsweise. Wie sich eine SQL-Injection ausnutzen lässt und welchen Schaden sie anrichten kann hängt natürlich stark von der individuellen Software ab. Auch die Rechte des Nutzers, mit dem die Verbindung zum Datenbankserver hergestellt wurde sind entscheidend. Grundsätzlich ist es via SQL-Injection möglich, unbefugt auf Daten zuzugreifen, diese zu manipulieren oder gar zu löschen.

Beispielsweise kann dem Seitenbetreiber eine Freude bereitet werden, in dem einfach seine gesamten Nutzer gelöscht werden. Dafür genügt der SQL-Befehl

DROP TABLE user;

sofern die Tabelle user heißt. Meist sind Namen aber leicht zu erraten (user, users, members etc.). Und wenn nicht kann je nachdem wie die Daten verarbeitet werden sogar der Befehl

SHOW TABLES;

ausgeführt werden, der wiederum eine Auflistung der Namen aller vorhandenen Tabellen erzeugt.

In der Praxis könnten etwa die Nutzerdaten eines Online-Shops unberechtigterweise ausgelesen und missbraucht werden. Im Falle von Kreditkarten beispielsweise für Carding. Aber auch normale Nutzerdaten wie Postanschrift und eMail-Adresse können für Werbezwecke genutzt oder weiterverkauft werden. Handelt der Seiteninhaber gar grob Fahrlässig und speichert die Passwörter seiner Nutzer ungesichert im Klartext, hat der Angreifer das Goldene Los gezogen: Er kann auf anderen Seiten prüfen, ob der Nutzer dort mit der gleichen eMail und Passwort angemeldet ist. Da immer noch recht viele Nutzer für mehrere Dienste das gleiche Passwort verwenden oder gar ein Universal-Passwort für sämtliche ihrer Zugänge verwenden, ist die Erfolgsquote auf bekannten Seiten wie eBay, Amazon oder Paypal dementsprechend hoch.

Dies ist nebenbei gesagt kein SiFi-Szenario was irgendwann mal vielleicht passieren könnte. Im Gegenteil, es ist sogar erst vor wenigen Jahren in einer großen Firma real geschehen: 2011 gelang es Hackern der Gruppe LulzSec, über eine SQL-Injection Zugriff auf persönliche Informationen sämtlicher Nutzer zu gelangen. Darunter auch die Passwörter, welche fatalerweise im Klartext gespeichert wurden. Ein Super-GAU für Sony und Kunden, der mit einfachsten Mitteln hätte verhindert werden können…

Seite 2 von 4

Was man mit SQL-Injections alles anstellen kann

Was man mit SQL-Injections alles anstellen kann Die Abfrage oben ist ein sehr simples Beispiel zur Demonstration der Funktionsweise. Wie sich eine SQL-Injection ausnutzen lässt und welchen Schaden sie anrichten kann hängt natürlich stark von der individuellen Software ab. Auch die Rechte des Nutzers, mit dem die Verbindung zum Datenbankserver hergestellt wurde sind entscheidend. Grundsätzlich …

Bewertungsübersicht

Nutzerbewertung

Zusammenfassung: Wie fandest du diesen Artikel? Bewerte ihn hier!

Nutzerbewertung: 4.65 ( 1 Bewertungen)
0

Über DMW007

Ein Kommentar

  1. Toller Artikel.

    Allerdings: Dass die Hochkomma, die im Prinzip „öffnende“ Anführungszeichen sind, tiefgestellt werden, erschwert hier leider das Lesen enorm.

Schreibe einen Kommentar