|
|
|
|
SQL Injektionen verhindern
Was sind SQL Injections?
SQL-Injection (dt. SQL-Einschleusung) bezeichnet das Ausnutzen einer Sicherheitslücke in Zusammenhang mit SQL-Datenbanken, die durch mangelnde Maskierung oder Überprüfung von Metazeichen in Benutzereingaben entsteht. Der Angreifer versucht dabei, über die Anwendung, die den Zugriff auf die Datenbank bereitstellt, eigene Datenbankbefehle einzuschleusen. Sein Ziel ist es, Daten in seinem Sinne zu verändern oder Kontrolle über den Server zu erhalten.
Ein kleines Beispiel
Hier ein kleines Beispiel. Wir nehmen an, dass wir in unserer Datenbank folgende Tabellen haben:
Tabelle News: Tabelle mit Newseinträgen, ingesamt 6 Spalten
Tabelle Users: Tabelle mit Benutzerdaten, Passwörter usw., ingesamt 8 Spalten
Unser Script (news.php) würde so aussehen:
// Code...
$query = mysql_query('SELECT * FROM News WHERE id = ' . $_GET['id']);
// Für eine Ausgabe... mag normalerweiße anders aussehen...
while ($row = mysql_fetch_array($query, MYSQL_ASSOC)) {
foreach ($row as $key => $value) {
echo "<b>$key</b>: $value<br />";
}
}
// Weiterer Code...
?>
auf, so erscheint noch kein Fehler. Wird die Datei aber folgendermaßen aufgerufen
Dies heißt in 99% der Fällen folgendes: Dieses Script ist angreifbar!
Was ist möglich?
Hiermit würde man als Ausgabe den Namen der Datenbank, die MySQL Version sowie eine Liste mit den Userdaten, samt Passwort erhalten.
Statt dem -1337 könnte man auch 99999 oder sonst irgendeine beliebige Zahl verwenden. Sie ist nur zu einem Zweck da: Damit nur das Ergebnis aus der SQL Injection ausgegeben wird.
Die MySQL Funktion CONCAT() fügt mehrere Spalten und Zeichen zusammen. Hier verwandt, um eine Liste ala "Username:Passwort" zu generieren.
Klar sein sollte, was DATABASE() bzw. VERSION() tut.
Wie kann ich mich schützen?
Alle Variablen vor dem senden an die Datenbank überprüfen (existent, leer?) und mit der Escape Funktion für die jeweilige Datenbank-Extension die "bösen Zeichen" maskieren. In MySQL geht das folgendermaßen:
$id = mysql_real_escape_string($_GET['id']);
$query = mysql_query('SELECT * FROM News WHERE id = ' . $id);
?>
Copyright (c) 2006-2008 by Simlau.net