SQL-Injection: Grundlagen und Schutzmaßnahmen

In großen und mittelständischen Unternehmen sind Datenbanksysteme unverzichtbar: So speichern und verwalten Banken und Versicherungen Konteninformationen und Buchungen strukturiert in den praktischen Speichersystemen. Viele Firmen planen ihre Ressourcen mit Enterprise-Resource-Planning-Systemen, die ihrerseits nicht ohne Datenbanken funktionieren. Und auch der Großteil bereitgestellter Angebote im World Wide Web wäre ohne Datenbanksysteme nicht realisierbar. Diese elektronischen Karteikästen einzurichten und zu pflegen, ist mit einem großen Aufwand verbunden – die größte Herausforderung besteht allerdings darin, ihre Sicherheit zu gewährleisten. Back-up-Verfahren und die Nutzung ausfallsicherer Hardware sind ebenso wichtig wie umfassende Schutzmaßnahmen gegen externe Zugriffe. Vor allem sogenannte SQL-Injections stellen für die traditionellen relationalen Datenbankmodelle und die implementierten Informationen eine große Gefahr dar.

Was ist eine SQL-Injection?

Unter einer SQL-Injection (dt. SQL-Einschleusung) versteht man das Ausnutzen einer Sicherheitslücke in relationalen Datenbankensystemen, die bei der Dateneingabe auf die Sprache SQL zurückgreifen. Der Angreifer macht sich dabei solche Benutzereingaben in die Datenbank-Oberflächen zunutze, die nicht ausreichend maskiert sind und Metazeichen wie den doppelten Bindestrich, Anführungszeichen, das Quote-Zeichen oder das Semikolon enthalten. Diese Zeichen besitzen Sonderfunktionen für den SQL-Interpreter und erlauben die externe Beeinflussung der ausgeführten Befehle. Oft tritt eine SQL-Injection in Zusammenhang mit PHP- und ASP-Programmen auf, die auf ältere Interfaces zurückgreifen. Hier erhalten die Eingaben in einigen Fällen nicht die notwendige Maskierung und sind damit das perfekte Ziel für einen Angriff.

Mit dem gezielten Einsatz von Funktionszeichen schleust ein eigentlich unberechtigter Benutzer auf diese Weise weitere SQL-Befehle ein und manipuliert die Einträge derart, dass er Daten verändern, löschen oder lesen kann. In gravierenden Fällen ist es sogar möglich, dass sich ein Angreifer auf diesem Wege den Zugriff auf die Kommandozeile des befehlsausführenden Systems und damit über den gesamten Datenbankserver verschafft.

SQL-Injection-Beispiele: So funktionieren die Datenbank-Angriffe

Da anfällige Datenbankserver schnell aufgespürt und SQL-Injection-Attacken ebenso einfach ausgeführt sind, gehört die Methode weltweit zu den beliebtesten. Dabei agieren die Kriminellen mit verschiedenen Angriffsmustern und machen sich so aktuelle, aber vor allem auch altbekannte Sicherheitslücken der am Datenmanagementprozess beteiligten Anwendungen zunutze. Um zu verdeutlichen, wie genau eine SQL-Injection funktioniert, haben wir einige der häufigsten Methoden beispielhaft für Sie zusammengetragen.

Beispiel 1: Zugriff über eine mangelhaft maskierte Benutzereingabe

Damit ein Benutzer auf eine Datenbank zugreifen kann, muss er sich für gewöhnlich zunächst authentifizieren. Zu diesem Zweck existieren Skripte, die beispielsweise ein Log-in-Formular bestehend aus Nutzername und Passwort präsentieren. Der User füllt das Formular aus und das Skript überprüft im Anschluss, ob in der Datenbank ein entsprechender Eintrag existiert. Standardmäßig sind hierfür in der Datenbank eine Tabelle mit dem Namen „users“ sowie den Zeilen „username“ und „password“ angelegt. Bei einer beliebigen Webapplikation könnten die betreffenden Skriptzeilen (Pseudocode) für den Webserver-Zugriff folgendermaßen lauten:

uname = request.POST['username']
passwd = request.POST['password']

sql = "SELECT id FROM users WHERE username='" + uname + "' AND password='" + passwd + "'"

database.execute(sql) 

Ein Angreifer hat nun die Möglichkeit, per SQL-Injection unter anderem das Passwortfeld zu manipulieren, indem er beispielsweise password' OR 1='1 eingibt, was zu folgender SQL-Abfrage führt:

sql = "SELECT id FROM users WHERE username='' AND password='password' OR 1='1'

Auf diese Weise erhält er Fall Zugriff auf die gesamte Nutzertabelle der Datenbank, da das Passwort immer wahr ist (1='1'). Loggt er nun als Administrator ein, kann er beliebige Veränderungen an den Einträgen vornehmen. Alternativ kann auf dem gleichen Weg auch das Feld des Benutzernamens manipuliert werden.

Beispiel 2: Daten ausspähen per ID-Manipulation

Informationen aus einer Datenbank per ID abzufragen ist eine praktische und gängige Methode, allerdings auch ein mögliches Einfallstor für eine SQL-Injection. So weiß ein Webserver beispielsweise durch eine in der URL übermittelte ID-Angabe, welche Informationen er aus der Datenbank abrufen soll. Das dazu passende PHP-Skript sieht in etwa so aus:

<?php 
  #Datenbankabfrage anhand einer ID 
  $id = $_REQUEST['id'];
  $result = mysql_query("SELECT * from tabelle WHERE id=$id");
  
  # Anzeige des Ergebnisse ...
   ?> 

Die erwartete URL hat die Form …/script.php?id=22. In dem aufgeführten Fall würde der Tabelleneintrag mit der ID 22 aufgerufen werden. Hat ein fremder Nutzer nun die Gelegenheit, diese anfragende URL zu manipulieren und schickt dem Webserver stattdessen die Anfrage …/script.php?id=22+or+1=1, bewirkt der daraus resultierende mysql_query-Aufruf, dass nicht nur der Eintrag mit der ID 22, sondern alle Daten ausgelesen werden:

SELECT * FROM tabelle WHERE id=22 or 1=1

Mit dem weiteren Klick laden Sie das Video von YouTube. In diesem Fall kann YouTube Cookies setzen, auf welche wir keinen Einfluss haben.

So finden Angreifer gefährdete Datenbanksysteme

Prinzipiell ist jede Website und jede Webanwendung anfällig für eine SQL-Injection, sofern SQL als Datenbanksprache zum Einsatz kommt – denn allzu oft sorgen die Hersteller der Programme, die mit der Datenbank kommunizieren, nicht für ein ausreichendes Maß an Sicherheit. Entdeckte Schwachstellen bleiben in den Weiten des Word Wide Webs nicht lange geheim und so existieren beispielsweise Informationsseiten, die aktuelle Sicherheitslücken präsentieren und Kriminellen darüber hinaus auch gleich verraten, wie sie passende Webprojekte über die Google-Suche finden können. Dank standardmäßiger Fehlermeldungen ist schnell überprüft, ob die angegebenen Treffer auch tatsächlich ein potenzielles Angriffsziel darstellen. So kann man einer URL mit enthaltenem ID-Parameter einfach ein Apostroph anhängen (wie im folgenden Beispiel):

    [Domainname].de/news.php?id=5‘

Eine angreifbare Website sendet dann eine Fehlermeldung zurück, die in etwa folgendermaßen lautet:

„Query failed: You have an error in your SQL Syntax …“

Zu Deutsch: „Abfrage gescheitert: Ihre SQL-Syntax ist fehlerhaft …” Mit ähnlichen Methoden lassen sich auch Spaltenanzahl, Tabellen- und Spaltennamen, SQL-Version oder gar Benutzer und Passwörter ausgeben. Mit größtenteils freien Tools lassen sich Suche und anschließende SQL-Injection darüber hinaus auch automatisieren. In jedem Fall ist das Ausnutzen bekannter Sicherheitslücken strafbar, insofern es sich nicht um Datenbanksysteme handelt, die einem selbst gehören und die man einem Sicherheitscheck unterziehen möchte.

Wie Sie Ihre Datenbank vor SQL-Injection schützen

$query = "SELECT * FROM users 
WHERE username= '" . $_POST['username'] . "' 
AND password= '" . $_POST['password'] . "'";

$query = "SELECT * FROM users 
WHERE username= '" . mysqli_real_escape_string($_POST['username']) . "' 
AND password= '" . mysql_real_escape_string($_POST['password']) . "'";
    

$sql = "INSERT INTO Students (Name) VALUES ('" . $studentName . "');";
execute_sql($sql);

    INSERT INTO Students (Name) VALUES ('Paul');

    INSERT INTO Students (Name) VALUES ('Robert'); DROP TABLE Students;––');