SQL-Injection

Eine SQL-Injection ist eine Form von Cyberangriff, die auf Datenbanken-verknüpfte Websites und Webanwendungen abzielt. Bei diesen Angriffen wird schlecht konfigurierte Server-Software von Websites und Datenbanken ausgenutzt, um einen Server dazu zu bringen, SQL-Anweisungen zu verarbeiten, die er andernfalls nicht ausführen würde. Diese Angriffe können vertrauliche persönliche und finanzielle Informationen offenlegen, einem Angreifer ermöglichen, in einer Datenbank gespeicherte Informationen zu ändern oder zu löschen, oder anderen unbefugten Zugriff ermöglichen.

Eine Website ist anfällig für eine SQL-Injection, wenn sie Benutzereingaben aus einem Text-Formular akzeptiert und diese als Teil einer SQL-Abfrage einfügt. Statt das Formularfeld mit den erwarteten Informationen auszufüllen etwa einem (Benutzernamen), gibt der Angreifer eine Text-Zeichenfolge ein, die die SQL-Abfrage verändert. Eine hypothetische Abfrage könnte beispielsweise mit SELECT UserID, Name, Password FROM Users WHERE UserID = beginnen, gefolgt von der Eingabe aus einem Formularfeld für die Benutzer-ID. Gibt der Benutzer seine Benutzer-ID ein, funktioniert die Abfrage wie erwartet und ruft seine Informationen ab.

Wenn der Server jedoch Eingabetext ohne Einschränkungen in die Abfrage einfügt, kann ein Angreifer ihn dazu verwenden, die SQL-Abfrage selbst zu verändern. Gibt jemand statt einer Benutzer-ID den Text 317 OR 1=1 ein, wird die Abfrage zu SELECT UserID, Name, Password FROM Users WHERE UserID = 317 OR 1=1;. Da OR 1=1 immer als wahr ausgewertet wird, setzt es die Benutzer-ID außer Kraft; die Abfrage gibt stattdessen die Benutzer-IDs, Namen und Passwörter aller Einträge in der Tabelle Users zurück. Andere Arten von Code-Injection können einem Angreifer ermöglichen, sich als Administrator einer Website anzumelden, Datensätze oder Tabellen aus einer Datenbank zu löschen oder (in einigen extremen Fällen) Shell-Skripte und anderen Code einzuschleusen und auszuführen.

Ein Website-Administrator kann SQL-Injection-Angriffe verhindern, indem er die Server-Software auf dem neuesten Stand hält. Außerdem ist es wichtig, Datenbankeingaben zu „bereinigen“, indem der Eingabetext eingeschränkt oder nach bestimmten Zeichen gefiltert wird. Website-Administratoren können ihre SQL-Abfragen auch parametrisieren – dabei werden Platzhalter in der Abfrage verwendet, die auf die Benutzereingabe verweisen, anstatt diese direkt in die Abfrage einzufügen.