kódinjekció

Kódinjekció egy biztonsági sérülékenység, amely akkor fordul elő, amikor egy alkalmazás a bemeneti adatok alapján kódot vagy parancsokat értelmez vagy hajt végre. A támadó a bemeneti adatokat úgy formálhatja, hogy a végrehajtandó utasítások között saját parancsokat vagy lekérdezéseket helyezzen el, ezáltal jogosulatlan tevékenységet hajtson végre, adatokat szivárogtasson ki, vagy a szolgáltatást megsértsen.

Fajtái közé tartoznak a SQL injekció, a parancs injekció és a kliensoldali injekciók, például XSS. Az SQL injekció során dinamikusan épített lekérdezést értelmezhet a támadó, így megváltoztathatja az adatbázis lekérdezéseit. A parancs injekció akkor fordulhat elő, ha a bemenet közvetlenül rendszerparancsokat futtató hívásba kerül. XSS esetén a felhasználó által bevitt kód megjelenik vagy futtatható lesz a böngészőben, potenciálisan támadó tartalmat terjesztve.

Okai közé tartozik a nem megfelelő bemenet-ellenőrzés, gyenge vagy hiányos kimenet-kódolás, dinamikus SQL vagy veszélyes deserializáció, és megbízhatatlan harmadik fél könyvtárak használata.

Következmények között szerepel adatszivárgás, adatok módosítása, jogosulatlan hozzáférés és szolgáltatás-megtörés vagy működésének megbénulása.

Védelmi intézkedések közé tartozik a parametrizált lekérdezések használata, a bemenetek alapos ellenőrzése és megfelelő kódolása a kimeneten, kerülése a dinamikus kód végrehajtásának, biztonságos deserializálás, a minimális jogosultság elve, rendszeres biztonsági tesztek és kódátvizsgálások, valamint védelmi eszközök alkalmazása, mint WAF és sandboxing.