SQL Injections

Was ist eine SQL Injection?

• eine Sicherheitslücke, die Angreifern erlaubt, eigene SQL Statements auf der Datenbank auszuführen

• Ein SQL Statement, das am Datenbankserver gespeichert ist und somit effizient ausgeführt werden kann

• Die Übergabe von Parametern in ein prepared Statement - die Parameter werden an die richtige Stelle "injeziert"

Moderne Programmiersprachen (wie Java) sind von Haus aus gegen SQL-Injections gesichert (im Gegensatz zu z.B. PHP)

• richtig

• falsch

Was bedeutet LAMP ?

• Linux, Amazon, Microsoft, Python

• Linux, Apache, MySQL, PHP

• Leet Amazing Mega Programming

• Linux, Apple, Microsoft, Pro

Anfällig für SQL Injections sind ausschließlich Webseiten und Web-Apps.

• richtig

• falsch

SQL Injections gehören zu den Top 10 Sicherheitsrisiken

• richtig

• falsch

SQL Injections können effektiv verhindert werden durch:

• Eingabe von speziellen Zeichen ins Inputfeld im Frontend verhindern

• einen kostenpflichtigen SQL-Server statt Open-Source verwenden

• mittels Prepared Statements

• Nur alphanumerische Zeichen im Backend zulassen

• mittels Stored Procedures

Ein typisches SQL-Statement zur Userauthentifizierung sieht so aus:

SELECT * FROM scientist WHERE firstname = $username AND password = $password;

Welche Eingaben für das Feld "username" sind potentielle SQL-Injections?

• albert' OR 1=1;#

• SELECT * FROM Tables;

• sepp' OR username <> 'sepp

• franz';#