Wie sieht diese Schwachstelle in der Praxis aus?

• Ein User kann Datenbankabfragen manipulieren, weil keine Validierung der Eingabe vorhanden ist
• LDAP Queries können eingeschleust werden, um Daten aus dem Active Directory auszulesen
• Mittels XPath-Injection können Daten aus einem XML Storage geladen werden

Häufigste Arten der Injection:

• SQL Injection
• Command Injection
• LDAP Injection
• XML Injection (XPath)
• HTML Injection
• CSS Injection

Wie kannst du dich als Softwareentwickler dagegen schützen?

• Validierung und Sanitization der Usereingaben bevor diese weiterverarbeitet werden
• Verwendung von Parameterized Queries zur Trennung von Befehlen und Daten durch Platzhalter und Parameter

Was ist der Business Impact?

• Kompromittierung, Manipulation und Übernahme von Daten und Serversystemen

Hat dir das Thema Spaß gemacht und du würdest gerne mehr davon haben? Dich zum professionellen Penetration Tester fortbilden? Dann bewirb dich bei uns im Mentoring und schon bald lebst du deinen Traum als Penetration Tester.

Harald

Admin von Security mit Passion

Penetration Tester & IT Security Analyst