Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Cross-Site-Scripting findet üblicherweise über JavaScript statt,
grundsätzlich ist aber jeder vom Browser ausgefürhrte Code geeignet.
SQL-Injection
SQL-Injection gehört zu einer der potentiell gefährlichsten Attacken, da
hierdurch unternehmenskritische oder sonstige wichtigen Daten offen
liegen können, wie z.B. Kreditkartennummern von Kunden. Weniger
bekannt aber ähnlich gefährlich ist, dass viele
Datenbankmanagementsysteme Schnittstellen für
Betriebssystemkommandos bereitstellen, wie xp_cmdshell des MS SQL
Servers, der in der Vergangenheit standardmäßig mit administrativen
Rechten auf dem Betriebssystem lief.
Ursache für SQL-Injection ist häufig, dass Benutzereingaben Teil eines SQL-
Befehls an das Backend sind. Die Webapplikation wirkt hierbei also als
Interface für SQL-Befehle. Das Gefährliche ist, dass hier die Möglichkeiten
der Eingabe über das vom Programmierer Erwartete hinausgehen. Erwartet
wird für gewöhnlich eine Benutzereingabe, die im späteren SQL-Befehl
einen Parameterwert oder einen Teil dessen darstellt, z.B. ein
Benutzername. Es ist aber möglich, die erwartete Eingabe zu verändern
oder zu erweitern, so dass anstatt des Parameterwertes, der eigentlich
erwartet wurde, ein Teil eines SQL-Befehls entsteht, der den ursprünglichen
SQL-Befehl verändert, oder aber auch ein neuer SQL-Befehl bzw. eine
Verkettung von SQL-Befehlen.
Ein oft beschrittener Weg bei einer gefundenen SQL-Injection
Schwachstelle ist es, zunächst die Systemtabellen auszulesen. Da ein
relationales Datenbanksystem alle Informationen auch über sich selbst
auch in seinen Tabellen speichern muss, können hier alle gewünschten
Informationen über die Datenbank ausgelesen werden, die Möglichkeit der
Eingabe der entsprechenden Befehle und die notwendigen Rechte
vorausgesetzt. Danach können die gewünschten Informationen wie z.B.
Kreditkartennummern gezielt abgefragt werden oder andere gewünschte
Aktionen wie das gezielte Verändern von Datenbankeinträgen durchgefürt
werden.
Auch bei SQL-Injection gibt es eine weitere Variante, die Blind-SQL-
Injection. Während man bei einer gewöhnlichen SQL-Injection den Aufbau
des vom System verwendeten SQL-Befehls anhand von Fehlermeldungen
erkennen kann, ist dies bei Blind-SQL-Injection nicht möglich. Ein Angreifer
muss sich daher den korrekten Aufbau des SQL-Befehls anhand von
Damian Schlager Seite 25