Verteidigung gegen SQL-Injection-Angriffe - ETH Zürich

Kapitel 4Umgehung der Authentifizierung4.1 EinleitungIn diesem Kapitel beschreiben wir, wie ein Angreifer die Authentifizierung eines Benutzers umgehen kann. Esgeht darum, sich ohne Passwort anzumelden. Es gibt dabei für einen Angreifer mehrere mögliche Ziele:• Einloggen als willkürlicher Benutzer• Einloggen als bestimmter Benutzer• Einloggen als AdministratorDie Authentifizierung wird von authenticate.jsp abgewickelt. Das darin enthaltene SELECT-Statement lautetfolgendermassen:SELECT * FROM usersWHERE username = ’’AND password = ’’Die Ausdrücke param.username und param.password beinhalten den vom Benutzer eingegebenen Benutzernamenund das Passwort. (Hinweis: Das Attribut escapeXml="false" im Tag ist notwendig, da wirdie Daten so in der Datenbank speichern wollen, wie sie der Benutzer eingegeben hat, und nicht etwa alsHTML-Entities. Vgl. Hinweis auf Seite 13.)Im Allgemeinen kennt der Angreifer das verwendete SQL-Statement nicht. Es kann aber durch Analyse vonSQL-Fehlermeldungen herausgefunden werden. Wir werden kurz beschreiben, wie ein Angreifer solche Fehlermeldungenmit gezielten Eingaben forcieren und die verwendeten SQL-Statements herausfinden kann, bevor wiruns den eigentlichen Angriffen widmen.Ein Angreifer kann z. B. für das Login auf der Seite index.jsp die folgenden Werte verwenden:Username:Password:’ or(leer)15