SQL-Injection
SQL-Injection bezeichnet das Ausnutzen einer Sicherheitslücke in Zusammenhang mit SQL-Datenbanken. Diese entsteht bei mangelnder Maskierung oder Überprüfung von Funktionszeichen. Der Angreifer versucht über eine Webapplikation, die auf eine Datenbank zugreift, eigene Datenbankbefehle einzuschleusen. Das Einschleusen kann per URL-Parameter oder Formularfelder passieren. Dabei ist das Ziel, Kontrolle über die Datenbank oder den Server zu erhalten, um Daten zu manipulieren, auszuspionieren oder zu löschen.
Um dies zu verhindern, müssen URL-Parameter und Formularfeldeingaben vor dem Integrieren in Querys immer gefiltert und überprüft werden, dass sie keine Steuerzeichen oder Operatoren (Grösser-, Kleiner-, Gleichheitszeichen oder Anführungszeichen) enthalten.
|
drucken