SQL Server-Sicherheit: Verschlüsselung und SQL Injection

SQL Injection ist der Name für eine allgemeine Klasse von Attacken, die es böswilligen Anwendern ermöglichen, auf Daten zuzugreifen, Server-Einstellungen zu verändern oder sogar den ganzen Server zu kapern, wenn man nicht vorsichtig ist. SQL Injection ist kein spezielles Problem von SQL Server, sondern betrifft alle unsauber geschriebenen Anwendungen. Da man sicherlich im Laufe seines Lebens auf eine solche Anwendung stoßen wird, sollte man das Problem verstanden haben und wissen wie man es behebt.

Lokalisierung von Schwachstellen

Einfallstore für SQL Injection entstehen, wenn gutgläubige Anwendungsentwickler eine WHERE-Klausel erstellen, bei der Benutzereingaben verwendet werden. Eine schlichte ASP-Anwendung könnte z. B. erlauben, dass der Benutzer eine Kunden-ID eingibt und der Ansprechpartner der zugehörigen Firma ausgegeben wird. Falls die Kunden-ID als Bestandteil des Requests von der ASP-Seite übergeben wird, könnte der Entwickler den folgenden Code schreiben, um die Daten abzurufen:

Wo liegt also das Problem? Wenn ein Benutzer eine Kunden-ID eingibt, erhält er den zugehörigen Ansprechpartner. Das geht doch in Ordnung, oder?

Abruf zusätzlicher Daten

Nun nicht ganz. Zum einen kann der Hacker den Namen eines Ansprechpartners erfahren, selbst wenn er gar keine Kunden-ID kennt. Er muss dabei nicht einmal eine erraten. Um dies zu erreichen, gibt er einfach den folgenden Text in das Eingabefeld ein, wo die Anwendung die Kunden-ID erwartet:

Wenn man dies in den Code einfügt, wird daraus die folgende Abfrage:

Durch Anwendung des UNION-Operators auf alle leeren und nicht-leeren Kunden-IDs gibt diese Abfrage alle Ansprechpartner aus der Datenbank aus! Die Response.Write-Anweisung würde direkt die ersten dieser Namen auf der Antwortseite ausgeben. Tatsächlich kann man mit dieser UNION-Methode beinahe alles aus einer Datenbank herausholen. Wenn man Folgendes als Kunden-ID eingibt:

wird daraus die folgende SQL-Anweisung:

Voilá, schon hat der Hacker den Namen des ersten Mitarbeiters aus der Datenbank.