Home>
SQL-Injection
Auf einen Blick
02
Beispiel einer SQL Injection
Angreifer nutzen SQL Injections etwa, um Datenbanken für User, Produkte und dergleichen zu korrumpieren. Hier verwenden Software-Entwickler typischerweise eine REST-API für den Abruf von Benutzern:
https://myapi.com/users/123
Diese Eingabe würde wahrscheinlich zu einer (nicht gesäuberten) Anfrage wie dieser führen würde:
SELECT * from users where id = 123
Wenn die API über keine Validierung bzw. Hygiene von Eingabedaten verfügt, besteht die Möglichkeit, mittels SQLi jeden Benutzer im System zu löschen. Die hierzu erforderlichen Eingaben sehen etwa so aus:
https://myapi.com/users/123;DELETE FROM users where id != 0
oder so:
https://myapi.com/users/123;TRUNCATE users
Hat der Angreifer Kenntnisse über die Datenstruktur in der Datenbank, könnte er durch Hinzufügen oder Aktualisieren von Einträgen in der Datenbank an Admin-Rechte gelangen:
https://myapi.com/users/123;UPDATE users set admin = 1 where id = 456
oder so:
https://myapi.com/users/123;INSERT INTO user_roles (userId, role) VALUES (456, 'ADMIN')
Weitere detaillierte Fallbeschreibungen einer SQL Injection Attack, inklusive Code-Beispielen finden sich auf der Webseite der OWASP Foundation.
06
Diese Folgen zieht eine SQL Injection Attack nach sich
Kommt es in Folge einer SQL Injection Attack zu einer Manipulation von Traffic-Daten, treffen Führungspersonen, etwa in E-Commerce- oder auch Medienunternehmen, falsche datengetriebene Entscheidungen. Dadurch können SQL Injection Attacks für langanhaltende Schäden sorgen.
Haben Cyberkriminelle Zugriff auch wertvolle Datensätze, macht das die betroffenen Unternehmen zudem erpressbar für hohe Lösegeldforderungen. Hinzu kommen der finanzielle Aufwand für die Beseitigung der Schäden sowie potenzielle Strafzahlungen. Denn wenn sensible Kundendaten durch eine Attacke in fremde Hände gelangen, drohen den Verantwortlichen empfindliche Geldbußen und sogar Freiheitsstrafen. Das Strafmaß ergibt sich aus den geltenden regulatorischen Vorgaben für Datensicherheit und Datenschutz.
Nicht zu unterschätzen sind zudem die schweren Auswirkungen von SQL Injection Attacks auf das Image betroffener Firmen. Viele große Datenskandale gehen auf erfolgreiche Attacken dieser Art zurück. Erbeuten Kriminelle Kundendaten, kann dies das Vertrauen in das Unternehmen auf Jahre erschüttern.
