SQL-Injections

Die SQL-Injection ist die vermutlich „populärste“ Angriffs- möglichkeit bzw. Sicherheitslücke bei dynamischen Web­sites und Webanwendungen.

Aktuelle Datenbanksysteme arbeiten mit SQL (Structured Query Language) als Abfrage- und Kontrollsprache – hier­bei handelt es sich um eine Sprache in einer bestimmten Syntax, die an die menschliche Sprache angelehnt ist. Bei Datenbankzugriffen bzw. -abfragen wird eine Zeichenkette mit einem Kommando an das Datenbanksystem überge­ben – z.B. eine Überprüfung des Namens und des Zu­gangspassworts eines Benutzers.

An dieser Stelle wird bei der Webentwicklung oft ein ver­heerender Fehler begangen, der einem Angreifer Tür und Tor öffnet: Benutzereingaben (z.B. Benutzername und Passwort für die Anmeldung an einer Webanwendung) werden im Code einfach unkontrolliert in die Datenbank­abfrage-Zeichenkette eingefügt. Bei einem solchen Vor­gehen besteht für einen Angreifer die Möglichkeit, die Ab­frage nahezu beliebig zu manipulieren und die gesamte Datenbank unter seine Kontrolle zu bringen. Hier können dann fast nach Belieben z.B. Benutzernamen, Passwörter, Inhalte von Seiten oder sonstige Daten ausgespäht, ge­ändert oder gelöscht werden.

Diese Sicherheitslücke gehört zu den häufigsten Fehlern bei Webdesign und Webentwicklung.

Weitere Informationen finden Sie im Wikipedia-Artikel zu SQL-Injection (externer Link).

Glossar