Angriffe auf Datenbanken [Netsec3] Autoren: Prof. Dr. Jörg Schwenk. Ruhr - Universität Bochum

Transkript

1 Angriffe auf Datenbanken [Netsec3] Autoren: Prof. Dr. Jörg Schwenk Ruhr - Universität Bochum

2

3 Angriffe auf Datenbanken [Netsec3] Autor: Prof. Dr. Jörg Schwenk 1. Auflage Ruhr - Universität Bochum

4 2017 Ruhr - Universität Bochum Ruhr - Universität Bochum Universitätsstraße Bochum 1. Auflage (23. Mai 2017) Didaktische und redaktionelle Bearbeitung: Jörg Schwenk Das Werk einschließlich seiner Teile ist urheberrechtlich geschützt. Jede Verwendung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung der Verfasser unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Um die Lesbarkeit zu vereinfachen, wird auf die zusätzliche Formulierung der weiblichen Form bei Personenbezeichnungen verzichtet. Wir weisen deshalb darauf hin, dass die Verwendung der männlichen Form explizit als geschlechtsunabhängig verstanden werden soll. Das diesem Bericht zugrundeliegende Vorhaben wurde mit Mitteln des Bundesministeriums für Bildung, und Forschung unter dem Förderkennzeichen 16OH12026 gefördert. Die Verantwortung für den Inhalt dieser Veröffentlichung liegt beim Autor.

5 Inhaltsverzeichnis Seite 3 Inhaltsverzeichnis Einleitung 4 I. Abkürzungen der Randsymbole und Farbkodierungen II. Zu den Autoren III. Lehrziele Angriffe auf Datenbanken 7 1 Lernziele Leseaufgabe Übungsaufgaben Literatur

6 Seite 4 Einleitung Einleitung I. Abkürzungen der Randsymbole und Farbkodierungen

7 Zu den Autoren Seite 5 II. Zu den Autoren Prof. Jörg Schwenk leitet den Lehrstuhl Netz- und Datensicherheit an der Ruhr-Uni Bochum seit dem Jahr Von 1993 bis 2001 arbeitete er im Bereich Sicherheit der Deutschen Telekom in verschiedenen Industrieprojekten. Anschließend lehrte er zwei Jahre lang an der Georg-Simon-Ohm FH Nürnberg. Er hat mehr als 60 Patente und mehr als 40 wissenschaftliche Publikationen verfasst. Seine Forschungsinteressen umfassen kryptographische Protokolle (SSL/TLS, IPSec), XMLund Webservice-Security, sowie Web- und Internetsicherheit.

8 Seite 6 Einleitung III. Lehrziele Die Kryptographie war lange Zeit eine Wissenschaft für Spezialisten. Bis in die zweite Hälfte des letzten Jahrhunderts beschäftigten sich mit ihr nur Militärs und Diplomaten. Mit dem Aufkommen der elektronischen Datenverarbeitung und der digitalen Kommunikation kamen weitere Spezialisten hinzu: Bankangestellte, Datenschützer, Mobilfunker, Pay-TV-Anbieter und auch die ersten Hacker. Mit dem Erfolg des Internet änderte sich die Situation grundlegend. Jetzt hatte jeder die Gelegenheit, persönliche Nachrichten per zu versenden, oder Waren mit einem Mausklick im World Wide Web zu kaufen. Gleichzeitig wuchs das Bewusstsein, wie unsicher das neue Medium ist: Durch Abhörpläne der nationalen Regierungen (die ähnlich wie beim Brief- und Fernmeldegeheimnis auch hier Einschränkungen im Rahmen der Verbrechensbekämpfung durchsetzen wollten) und durch kriminelle Aktivitäten (wie z.b. den Diebstahl von Kreditkartennummern von Webservern). Ziel dieses Moduls ist es, dem Leser eine fundierte Einführung in das Gebiet der Web-Sicherheit und speziell über die häufigsten Schwachstellen in Webapplikationen zu geben. Damit soll er in die Lage versetzt werden, wie er derartige Schwachstellen manuell finden kann, ohne die Hilfe von automatisierten Webapplikations- Scannern in Anspruch zu nehmen. Darüber hinaus lernt der Leser entsprechende Schutzmaßnahmen sowie deren Wirksamkeit kennen.

9 Angriffe auf Datenbanken Seite 7 Angriffe auf Datenbanken 1 Lernziele Sie erhalten einen Überblick über Datenbanken und eine Einführung in die Structured Query Language (SQL). Es werden konzeptionell und an Hand von Codebeispielen Angriffe - sogenannte SQL Injections - auf Datenbanken und deren Auswirkungen besprochen. Weiterhin folgt eine Übersicht von Angriffsvariationen, bspw. Blind SQL, bei denen kein unmittelbarer Rückkanal vorhanden ist. Der Abschluss des Kapitels zeigt, dass diese Klasse von Angriffen nicht nur auf SQL beschränkt ist, sondern auch andere interpretierte Sprachen wie XPath, NoSQL Datenbanken und LDAP betreffen. 2 Leseaufgabe Der Inhalt dieses Studienbriefes ist das Kapitel 7 aus dem Buch Schwenk [2016]. 3 Übungsaufgaben Übung 1 Betreffen SQL Injections nur Select Statements? Begründen Sie Ihre Antwort. Ü Übung 2 Im folgenden sind einige Aussagen zum Thema SQL aufgeführt. Erläutern Sie zu jedem Punkt, warum die Aussage richtig bzw. falsch ist. Ü 1. SQL ist ein Standard, der von verschiedenen Datenbanksystemen unterschiedlich implementiert wird. 2. Mit einem DROP-Query löscht man die Datensätze einer Tabelle. 3. Mit einem INSERT-Query wird ein neuer Datensatz in die Datenbank eingefügt. 4. Ein UPDATE-Query darf keine WHERE-Klausel enthalten. Übung 3 Eine SQL-Injection Schwachstelle entsteht durch unsauberes Programmieren, wodurch dynamische SQL Abfragen erweitert werden können... entsteht durch unsauberes Programmieren, wodurch statische SQL Abfragen überschrieben werden können... kommt nur in Webapplikationen vor, die MySQL nutzen.... kann durch Blacklisting von Befehlen sicher verhindert werden. Ü

10 Seite 8 Angriffe auf Datenbanken Ü Übung 4 In einer Web-Applikation steht Ihnen eine Auswahlliste verschiedener Städte zur Verfügung. Jede Stadt ist mit einem numerischen Wert codiert (bspw. Columbia hat den Wert 101). Der numerische Wert wird in das SQL Statement eingesetzt. Durch Klicken auf den Button Go, wird die Anfrage an die Datenbank gestellt und die Resultate zurückgeliefert. Erzeugen Sie eine numerische SQL Injection, welche Ihnen die Daten von allen hinterlegten Städten ausgibt. Ü Übung 5 In einer Web-Applikation lassen sich die Kreditkartennummern für einen Benutzer anzeigen. Hierfür muss der Nachname (z.b. Smith ) in ein Textfeld eingetragen werden. Der Nachname wird als String in das SQL Statement eingesetzt. Durch Klicken auf den Button Go, wird die Anfrage an die Datenbank gestellt und die Resultate zurückgeliefert. Erzeugen Sie über den String eine SQL Injection, welche Ihnen die Kreditkartennummern aller hinterlegter Nutzer ausgibt.

11 4 Literatur Seite 9 Übung 6 Es sei folgender Quellcode gegeben, welcher eine Abfrage auf eine Datenbank ausführt, um Username/Passwort Kombinationen zu prüfen. Ü S t r i n g query = "SELECT FROM user_data WHERE last_ name = ' " + accountname + " ' AND password = ' " + password + " ' " ; Geben Sie - ohne Kenntnis des Passworts zu haben einen SQL Injection Vektor an, mit dem Sie sich als beliebiger Nutzer einloggen können. Verwenden Sie für accountname bspw. Smith. Kontrollaufgabe 1 Eine Web-Applikation erlaubt einem Benutzer eine Kontonummer einzugeben. Falls es sich um eine gültige Kontonummer handelt, antwortet die Applikation mit Kontonummer gültig, ansonsten mit Kontonummer ungültig. K Nutzen Sie die Kontonummernabfrage, um eine Blind SQL Injection durchzuführen. Das Ziel ist es, den Wert der Spalte pin, in der Tabelle pins, für den Eintrag in der Spalte cc_number zu finden. Der Wert ist vom Typ int (Integer). Konstruieren Sie ein erstes SQL Statement, welches Sie dem Eingabefeld übergeben und welches somit von der Datenbank verarbeitet wird. Erläutern Sie Ihr weiteres Vorgehen. Hinweis: Zusammengesetzte SQL Abfragen, lassen sich durch das Verbinden mehrerer Tests mit Schlüsselwörtern wie AND und OR erzeugen. Erstellen Sie eine SQL Abfrage, die Sie als wahr/falsch -Test verwenden kann. Nutzen Sie dann die Operatoren < und > um den Wert herauszufinden. 4 Literatur Joerg Schwenk. Netzsicherheit 3. Ruhr-Universität Bochum, 2016.

12