Web-Sicherheit

August 23, 2011

Eine verzwickte SQL-Injection-Schwachstelle mit sqlmap ausnützen

Filed under: Allgemein — sebastiankuebeck @ 07:13
Tags: , , , , , , ,

Pentest Monkey zeigt in seinem aktuellen Blogeintrag, wie er eine verzwickte SQL-Injection-Schwachstelle mit sqlmap – dem wahrscheinlich bekanntesten Werkzeug zum Aufspüren und ausnutzen von SQL-Injection-Schwachstellen – ausnutzt.

Die Geschichte beginnt mit einer relativ offensichtlichen Schwachstelle bei der Verarbeitung eines URL-Parameters. Allerdings stößt Pentest Monkey auf ein unerwartetes Problem: Der Parameter akzeptiert weder den Operator and noch or. Mit etwas Kreativität schafft es Pentest Monkey aber dennoch, sqlmap durch ein verborgenes Feature dazu zu bewegen, die Schwachstelle auszunutzen.

Wenn man Webanwendungen absichert folgt man daher am besten Faustregel, dass man prinzipiell jede SQL-Injection-Schwachstelle ausnutzen kann, auch wenn die eigenen Fähigkeiten dazu möglicherweise nicht ausreichen. Ein erfahrener Pen-Tester schafft das allerdings in den meisten Fällen.

Schreibe einen Kommentar »

Es gibt noch keine Kommentare.

RSS feed for comments on this post. TrackBack URI

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

Bloggen auf WordPress.com.

%d Bloggern gefällt das: