als PDF-Datei - Plastic Spoon

4.2. CRACKING 37
ungeprüft in Betriebssystemaufrufe umgesetzt werden. Nehmen wir z.B. einmal
folgendes Skript:
#!/bin/sh
######################################################
#
# pseudo
#
# a good demonstration of bad programming style
#
#######################################################
echo -n "Ihre Eingabe bitte: "
read EINGABE
sh -c "echo $EINGABE"
Dieses Skript nimmt eine Eingabe entgegen und schreibt diese auf den Bildschirm:
> ./pseudo
Ihre Eingabe bitte: Hallo Du
Hallo Du
Interessant wird es, wenn wir unsere Eingabe leicht abwandeln:
> ./pseudo
Ihre Eingabe bitte: Hallo Du; du siehst gut aus
Hallo Du
du: siehst: No such file or directory
du: gut: No such file or directory
du: aus: No such file or directory
Hier wurde offensichtlich der Befehl du ausgeführt. Dies ist auch nicht weiter
verwunderlich, da das Semikolon für sh das Ende eines Befehls bedeutet. ”
du“
war damit ein neuer Befehl, der dann auch ordnungsgemäß ausgeführt wurde.
Auf dieselbe Weise können auch viele CGI-Skripte dazu gebracht werden, beliebige
Befehle auszuführen. Beispiele reichen von Testskripten, die übergebene
Argumente ausgeben, über Bestellsysteme, bei denen in ein Formular eingegebene
Daten per E-Mail verschickt werden sollten, bis zu Servern, die die Daten
direkt in SQL-Anfragen umsetzten. In letzterem Fall war ein ziemlich weitreichender
Zugriff auf die Datenbank möglich [25]. Auch hier existieren Programme,
die gezielt nach bestimmten unsicheren Skripten suchen und dem Angreifer
dann die Möglichkeit geben, beliebige Befehle auszuführen.
Schützen kann man sich gegen diese Angriffe kaum. Theoretisch könnte man
nur Software verwenden, die man selbst geschrieben oder deren Quelltext man
ausgiebig analysiert hat. In der Realität wäre ein solches Vorgehen nur denkbar,
Websites, bei denen es genügt, JavaScript abzuschalten, um bestimmte Sicherheitsabfragen
unwirksam zu machen.