SQL-Injection: So schützen Sie sich vor Angriffen auf Ihre Datenbanken

Risiko Rechtemanagement

Aushebeln von Benutzerrechten per Injection

SQL-Injection als verbreitete Form der Injection-Angriffe

Durch das heimliche Einfügen der Gleichung “1=1” in das Passwortfeld, wird die ganze Eingabezeile scheinbar korrekt (“wahr”), und der SQL-Server lässt Hacker:innen dadurch auch ohne korrektes Passwort in die Datenbank.

Datenbank-Befehle als Anfragen getarnt

• Enthält ein Text beispielsweise den an der passenden Stelle eingeschleusten SQL-Befehl „Drop Table“ (auf Englisch: „Tabelle abwerfen“), so versteht das DBMS dies als Anweisung, die aktuelle Tabelle komplett vom Unternehmens-Server zu löschen. Aber auch andere Steuer-, Lese- und Schreibbefehle können auf diesem Weg leicht injiziert werden und fatale Folgen haben.
• Durch das Einfügen von zwei aufeinander folgenden Bindestrichen an der richtigen Stelle im SQL-Code wird der SQL-Interpreter des DBMS angewiesen, alle weiteren Zeichen bis zum nächsten Semikolon zu ignorieren. So können Angreifer:innen gezielt vorhandene Befehle manipulieren oder ganz deaktivieren.
• Selbst Passwortabfragen werden mit dieser Technik erfolgreich umgangen. Dazu tragen die Angreifer:innen beispielsweise in die Passwortabfrage für das Kundenkonto eine einfache logische Operation ein, die den Wert „Wahr“ als Ergebnis einer sogenannten ODER-Verknüpfung zurückliefert. Die Datenbank interpretiert diesen Wert „Wahr“ irrtümlich als Bestätigung, dass auch das Passwort selbst korrekt („Wahr“) eingegeben wurde und gibt den Zugang zum Kundenkonto frei.

• Bei der In-Band-SQLi stehlen Angreifer:innen Datenbank-Inhalte über den selben Kommunikationskanal („Band“), über den sie auch die Webseite mit der Datenbank angreifen. Die In-Band-SQLi ist die einfachste und häufigste Form von SQL-Injections.
• Die Out-of-Band-SQLi arbeitet im Unterschied zur klassischen In-Band-SQLi mit mindestens zwei Datenkanälen. Über einen Angriffs-Kanal kompromittieren Hacker:innen eine Datenbank mit schädlichen Befehlen. Teil dieser Befehle ist der Verweis auf einen Server im Internet, wohin Tabelleninhalte dann beispielsweise über den Into-Outfile-Befehl versendet werden. Nach der Attacke müssen die Angreifer:innen nur noch die gestohlenen Daten von diesem Server herunterladen und ihre Spuren verwischen.
• Die inferentielle (schlussfolgendere) SQLi nutzen Angreifer:innen gerne, wenn ein entsprechender Rückkanal fehlt. Dabei senden sie eine Vielzahl von Anweisungen an die Datenbank, um aus den Rückmeldungen des Systems Rückschlüsse auf die eigentliche Struktur und die Inhalte der Datenbank zu erhalten. Diese Form von SQL-Injection setzt fortgeschrittene Hacking-Kenntnisse voraus. Sie wird oft auch als blinde SQLi bezeichnet, weil die Angreifer:innen zu Beginn nur wenig Wissen über das anzugreifende System haben und Inhalte und Form der Datenbank nicht direkt auslesen, sondern nur indirekt (schlussfolgernd) ermitteln. Diese Technik ist sehr aufwändig. Sie kann aber über entsprechende Hacking-Programme automatisiert werden.

• Richten Sie für Datenbank-Zugriffe über Ihre Webseite ein eigenes Benutzerkonto mit minimalen Benutzerrechten ein. Überwachen und protokollieren Sie alle Abfragen, die über dieses Benutzerkonto erfolgen.
• Speichern Sie grundsätzlich alle Benutzernamen, Passwörter und andere sensible Daten in Ihren Datenbanken verschlüsselt, sodass Hacker:innen diese Informationen nicht per SQLi ausspionieren können. Auch auf Ihren eigenen Endgeräten sollten Sie Passwörter nie im Klartext speichern. Passwort-Manager helfen Ihnen bei Erstellung und Verwaltung sicherer Passwörter.
• Schützen und prüfen Sie alle Maschinen und Geräte in Ihrem unternehmenseigenen Internet of Things (IoT), die Daten in Ihre Datenbanken schreiben. Dazu gehören beispielsweise Klimalogger, Anlagensteuerungen, Diagnosewerkzeuge oder Mobilgeräte, mit denen Sie Maschinen steuern oder mit denen Sie in Ihrer Private Cloud Daten speichern. IoT-Security sollte in einem vernetzten Unternehmen integraler Bestandteil der Datenbank-Sicherheit sein.
• Beschädigte Datensätze oder fehlende Tabellen können Anzeichen einer SQLi sein. Überprüfen Sie Ihre Webanwendungen unverzüglich auf Sicherheitslücken, sobald sie unautorisierte und unerklärbare Manipulationen an Ihren Datenbank-Inhalten feststellen.
• Datenpakete oder Kundendaten, die im Fließtext an unerwarteten Stellen SQL-Befehle und Metazeichen enthalten, sind ein deutlicher Hinweis auf eine versuchte SQL-Injection. Finden Sie solche Inhalte in Ihren Tabellen, hat Ihre Sicherheits-Architektur offensichtlich Lücken und Sie sollten diese finden und schließen.
• Deaktivieren Sie alle nach außen gerichteten Fehlermeldungen Ihrer Webanwendungen oder Ihres DBMS, die Angreifer:innen Rückschlüsse auf Ihre verwendete Software oder auf Datenbank-Strukturen erlauben. Eine Meldung wie „Name nicht gefunden in Tabelle ‚Kundendaten.xls‘“ liefert Kriminellen bereits sehr wertvolle Indizien. Noch immer senden viele Webseiten beispielsweise beim Test-Aufruf mit einer bewusst fehlerhaften Get-Anweisung die verräterische Rückmeldung: „Query failed: You have an error in your SQL Syntax …“
• Verwenden Sie auch bei allen Apps, mit denen Sie intern auf Ihre Unternehmens-Datenbanken zugreifen, stets die aktuellsten Programmversionen. Wenn Sie Office-Pakete und andere wichtige Anwendungen als Software-as-a-Service nutzen, profitieren Sie vom automatischen Update-Service der Hersteller. Damit minimieren Sie das Risiko, dass Angreifer:innen versteckte Programmlücken ausnutzen, um Schadcode in Ihre Datenbanken einzubringen.

• Prüfen Sie eingehenden Daten immer auf Übereinstimmung mit den jeweils erwarteten Datentypen. Numerische Eingaben testen Sie beispielsweise mit der PHP-Funktion Is_Numeric() auf erlaubte Inhalte.
• Sonderzeichen, die als Metazeichen Ihre Programmierung kompromittieren könnten, sollten Sie generell ignorieren und verwerfen oder schon bei der Eingabe abfangen und so maskieren, dass Ihre Systeme sie nicht als Befehlscode deuten können.
• Auch Datenpakete aus vermeintlich sicheren Quellen, etwa von Kolleg:innen, von Ihrer IT-Abteilung oder von Geschäftspartnern, sollten Sie nie ungeprüft in Ihre Datenbanken einpflegen. Denn auch deren Systeme könnten von Schadprogrammen befallen sein oder die Daten könnte Ihnen von Dritten mit gefälschter Absenderkennungen zugesendet worden sein.

• Löschen Sie nicht mehr benötigte Benutzerkonten und Applikationen von Ihrem Webserver. Deinstallieren Sie auch nicht mehr verwendete Plug-ins. Je schlanker Ihre Systeme sind, desto weniger Einfallstore bieten sie für Angriffe. 2022 fanden Expert:innen beispielsweise eine Sicherheitslücke in dem beliebten WordPress-Plug-in WP Statistics, über die Angreifer:innen vermeintlich geschützte Informationen auslesen konnten.
• Halten Sie Ihre Programme aktuell und updaten Sie Ihr DBMS und Ihre Webanwendungen wie WordPress oder Ihre Webshop-Software, sobald hierfür neue Versionen herauskommen.
• Verwenden Sie eine Web-Application-Firewall, wie beispielsweise ModSecurity für Apache HTTP-Server. Diese schaltet sich zwischen Ihren Webserver und die Clients der Besucher:innen Ihrer Webseite schaltet und prüft alle eingehenden Anfragen auf verdächtige Inhalte und SQL-Kommandos.