SQLinjektion

SQLinjektion bezeichnet eine sicherheitslücke in Anwendungen, bei der Benutzereingaben in SQL-abfragen eingefügt werden und vom Datenbankserver als Teil der Abfrage interpretiert werden. Dadurch kann ein Angreifer unbefugten zugriff auf daten erhalten, daten exfiltrieren, manipulative changes vornehmen oder administrative operationen auf der datenbank ausführen.

Ursachen sind das direkte Aneinanderreihen von eingaben zu sql-anweisungen, mangelnde eingabevalidierung, dynamisch erzeugte sql-abfragen und unzureichende typprüfung. Angreifer nutzen formularfelder, url-parameter, cookies oder http-header, um schädliche sql-teile einzuschleusen. Typen reichen von klassischen injektionen über blind-injektionen (zeitverzögerungen oder booleans) bis hin zu union-basierten angriffen.

Auswirkungen umfassen den zugriff auf vertrauliche daten, das ändern oder löschen von datensätzen, das umgehen von authentifizierung oder die ausführung von administrativen sql-befehlen. In schweren fällen kann es zur vollständigen kompromittierung der anwendung oder zur beeinträchtigung der verfügbarkeit kommen.

Gegenmaßnahmen umfassen parameterisierte abfragen oder vorbereitete anweisungen, die eingaben strikt als parameter behandeln statt sie direkt in sql einzubauen. Weitere schutzmaßnahmen sind input-validierung, typprüfung, das prinzip der geringsten privilegien für datenbanknutzer, der vermeidung dynamischer sql in sicherheitskritischen bereichen, der einsatz sicherer stored procedures sowie regelmäßige code-reviews und sicherheitsprüfungen. Ergänzend kann eine web-application-firewall zusätzlichen shielding bieten.

Erkennung und vorbeugung erfolgen durch statische und dynamische sicherheitsanalysen, sicherheitstests und regelmäßige penetrationstests sowie durch sichere entiwicklungspraxis und automation.