Registry

2020-02-16T23:12:04Z

St172456: Auswertbarkeit hinzugefügt

== Registry Allgemein ==
Die Registry ist eine Datenbank, die von Windows-Betriebssytemen genutzt wird, um Konfigurationsdaten des Systems oder einzelner Benutzer zu speichern. Die Registry besteht aus mehreren Bäumen („Hives“), wovon einige pro System eindeutig sind, andere pro Benutzer vorhanden sind. Die Registry ist in einer Baum-, bzw. Ordner-Struktur und als Key-Value Speicher konzipiert. Der Key gibt eine „Adresse“ innerhalb der Registry an, der Value den dazugehörigen Wert. Dargestellt werden diese Adressen über die Windows-typtischen Pfade, allerdings ohne die führenden Laufwerksbuchstaben.
<br>
Da die Registry Aufschluss über den Konfigurationszustand eines Systems gibt, liefern sie im Falle einer forensischen Untersuchung wertvolle Hinweise, die den Systemzustand des Untersuchungsgegenstands für den Analysten nachvollziehbar machen.

== IT-Forensik auswertbarkeit ==

Die Registry-Datenbank befindet sich im User-Directory des jeweiligen Users (Bspw. C:\users\mustermann\ntuser.dat)
und kann natürlich ausgewertet werden ohne sich als "der User" am System anmelden zu müssen. Dies ist vor allen Dingen dann wichtig wenn keine Änderungen am System vorgenommen werden sollen.

Aus einem System-Image bspw. lässt sich mittels Sleuthkit die NTUSER.dat extrahieren und anschließend auf jedem Windows-PC einlesen. Hierfür sind folgende Schritte zu tun:

# NTUSER.dat des jeweiligen Benutzers auf das Windows-Zielsystem kopieren/extrahieren
# Regedit.exe auf dem Zielsystem starten
# den Baum "HKEY_USERS" selektieren
# "Datei" => "Struktur laden" => [DATEI auswählen]

Fertig.

'''Wichtig''': Niemals direkt die Datei aus dem Benutzerordner verwenden und vergessen die Struktur wieder "zu entladen". Die NTUSER.dat kann nicht parallel zusammen mit anderen Benutzern verwendet werden!

SQL Injection

2020-02-14T06:59:20Z

St172456: Kleinigkeiten angepasst.

Die SQL-Injektion (engl.: SQL injection) bezeichnet eine Angriffsmethode auf Datenbanken, bei der ein Angreifer durch eine fehlende Plausibilisierung der Parameterein- oder -übergabe ein SQL-Statement manipuliert.

Beispielsweise tritt sie dann auf, wenn ein Benutzer nach Eingaben gefragt wird, wie z.B. nach seinem Benutzernamen. Anstelle des Namens gibt der Benutzer eine SQL-Anweisung an, die auf der Datenbank ausgeführt wird. Dies ist dann möglich, wenn die Benutzereingaben, durch eine fehlende Plausibilisierung, auf der Seite des Web-Servers von einem Interpreter als Kommando oder Abfrage interpretiert und ausgeführt werden. Durch diese Schwachstellen kann der Zugriff auf Datenbanken gewährt werden und Daten können beispielsweise gelesen oder manipuliert werden.

Als Gegenmaßnahme können Prüfungen auf die Feldinhalte und die Feldlänge durchgeführt werden. Ein Angreifer kann ohne die Prüfungen folgende Elemente nutzen:

* den SQL String Delimiter ( ́),
* den SQL Statement Concatenation Character (;) und
* die SQL Comment Sequence bzw. Character nutzen (bei Microsoft® SQL Server: --, bei MySQL: #).

Ein Beispiel wäre folgende Abfrage die sich hinter einer Weboberfläche versteckt:

''SELECT * FROM benutzertabelle WHERE benutzername = ́$uid ́ AND passwort = ́$pwd ́''

Hier wird die Eingabe des Nutzers (Username und Passwort) mit der Datenbank abgeglichen, ob eine passende Kombination vorhanden ist bzw. ob es sich um einen zulässigen Benutzer handelt.

Ein Angreifer könnte nun ein folgende Eingabe tätigen:

* Für $uid eine beliebige Eingabe, z. B. abc
* Für $pwd die Eingabe ́ '' OR 1=1 --

Wird keine Prüfung durchgeführt, ergibt sich dadurch die Abfrage:

''SELECT * FROM benutzertabelle WHERE benutzername = ́abc ́ AND passwort = ́ ́ OR 1=1 --

Da der Gesamte Term durch OR 1=1 immer „true“ als Ergebnis liefert kann der Angreifer sich so authentifizieren.

IT-Forensik Wiki - Benutzerbeiträge [de]

Registry

SQL Injection