Verteidigung gegen SQL-Injection-Angriffe - ETH Zürich

Kapitel 5Ausführen beliebiger SQL-Statements5.1 EinleitungBei gewissen SQL-Statements kann beliebiger SQL-Code eingefügt werden. Am einfachsten geht dies, wenn eineApplikation am Ende eines SQL-Strings einen nummerischen Parameter einfügt. Es ist aber auch möglich, wennder Parameter eine Zeichenkette ist und der eingefügte Wert im SQL-Statement von Anführungszeichen eingeschlossenist. In diesem Fall und im Fall eines nummerischen Parameters, der nicht am Ende des SQL-Statementseingefügt wird, muss das SQL-Statement jedoch einzeilig sein, oder der Parameter, womit der Angreifer Codeeinfügen will, muss in der letzten Zeile des mehrzeiligen SQL-Statements vorkommen. Dann nämlich kann derrestliche Teil des SQL-Statements mit Hilfe von Kommentarzeichen abgeschnitten werden. Nachfolgend ist zubeiden Fällen (nummerischer Parameter und Zeichenkette) je eine Beispiel-Abfrage aufgeführt:SELECT * FROM messages WHERE messageid = ${messageid}SELECT * FROM usersWHERE username = ’${username}’Hierbei seien ${messageid} und ${username} die Parameter, die eingefügt werden.Im ersten Beispiel erfolgt der Angriff relativ einfach:${messageid}0; Dies führt zu folgendem SQL-Statement:SELECT * FROM messages WHERE messageid = 0; Für das zweite Beispiel müssen Kommentarzeichen verwendet werden. In SQL wird dazu die Zeichenkette --verwendet. Aller Text danach (auf derselben Zeile) wird ignoriert. Der Angriff erfolgt folgendermassen:${username}’; --Dies führt zu folgendem SQL-Statement:SELECT * FROM usersWHERE username = ’’; --’23