IT-Forensik Wiki - Benutzerbeiträge [de]

Zeitbasierte SQL Injection Attacken

2022-02-23T23:08:02Z

St190800:

Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz<ref>[https://www.sqlinjection.net/inference SQL Injection Inference Attacks] | sqlinjeciton.net (2020). Abgerufen am 06.02.2022</ref>, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi"<ref>[https://labs.portcullis.co.uk/download/Deep_Blind_SQL_Injection.pdf Deep Blind SQL Injection] | Ferruh Mavutina (26.02.2008). Abgerufen am 06.02.2022</ref> und "Deep Blind SQLi".
== SQL Injection mit Zeitverzögerung (Time Delay) ==

Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle ausfindig zu machen. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.<ref>[https://www.acunetix.com/websitesecurity/sql-injection2/#:%7E:text=What%20is%20a%20time%2Dbased,query%20is%20true%20or%20false Types of SQL Injection (SQLi)] | Acunetix (15.07.2020). Abgerufen am 07.02.2022</ref>

In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL Anfrage verzögert werden kann anhand einiger Beispiele an unterschiedlichen DBMS Typen:
{| class="wikitable"
|-
! DBMS !! Befehl !! Code-Beispiel !! Kommentare
|-
| MySQL || SLEEP(Zeit) || <code style="color: #3e6e93">SELECT ... SLEEP(60)</code> || Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.
|-
| MySQL || BENCHMARK(Anzahl, Ausdruck) || <code style="color: #3e6e93">SELECT BENCHMARK(100000000, 'SELECT ...')</code> || Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
|-
| MS-SQL, Transact-SQL || WAITFOR DELAY 'hh:mm:ss' || <code style="color: #7fba00">SELECT ... WAITFOR DELAY '00:00:15' SELECT ...</code> || Verzögert die Ausführung des Befehls um den angegebenen Zeitraum
|-
| MS-SQL, Transact-SQL || WAITFOR TIME 'hh:mm:ss' || <code style="color: #7fba00">SELECT ... WAITFOR TIME '14:15:00' SELECT ...</code> || Verzögert die Ausführung des Befehls und führt diesen fort, wenn der angegebene Zeitpunkt erreicht ist
|}
*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken im Voraus zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt, sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.

Das Identifizieren von Schwachstellen ist nicht der einzige Einsatzzweck zeitbasierter SQLi Attacken. Sofern der Angreifer Verzögerungen in Prozeduren, bzw. Statements mit Bedingungen (z.B. <code>CASE</code> oder <code>IF</code>) integriert, ist es möglich, dass die Zieldatenbank Systeminformationen oder auch Daten preisgibt. Diese Methode basiert auf dem Inferenzansatz oder auch der Informationserschließung.

Vereinfacht dargestellt, wenn ein Angreifer eine Zeitverzögerung in ein Bedingungs-Statement integriert, hat der Angreifer die Möglichkeit geschaffen dem Zieldatenbanksystem eine Ja/Nein Frage zu stellen. Die Antwort des Datenbanksystems hängt somit von diesem Zeitfaktor ab (wäre fallweise ungewöhnlich lang) und lässt den Angreifer ermitteln, ob die Antwort Ja oder Nein war und daraus weiterführende Informationen erschließen.<ref>[https://beaglesecurity.com/blog/vulnerability/time-based-blind-sql-injection.html Time based Blind SQL Injection (SQLi)] | Beagle Security (05.06.2018). Abgerufen am 07.02.2022</ref><ref>[https://owasp.org/www-community/attacks/Blind_SQL_Injection Blind SQL Injection] | OWASP Foundation (o.D.). Abgerufen am 07.02.2022 von</ref>

In folgender Tabelle werden exemplarisch für einige Datenbanksysteme beispielhaft Bedingungs-Statements aufgeführt:

{| class="wikitable"
|-
! DBMS !! Bedingungs- Anweisung !! Kommentare
|-
| MySQL || IF(Bedingung, wenn_wahr, wenn_falsch) || Nur innerhalb eines SQL Statements möglich. In einer Prozedur ist die Syntax analog zu der von Oracle-SQL (PL-SQL)
|-
| MS-SQL, Transact-SQL || IF Bedingung, wenn_wahr [ELSE wenn_falsch] || Nur innerhalb einer Prozedur oder Stapelabfrage (Stacked SQL Query) möglich
|-
| Oracle, PL/SQL || IF Bedingung THEN wenn_wahr [ELSE wenn_falsch] END IF || Nur in PL/SQL möglich
|}

Wie ersichtlich wird unterscheiden sich die injizierten Statements geringfügig abhängig vom Zweck der zeitbasierten Attacke.
Im Folgenden Abschnitt werden exemplarische Beispiele anhand unterschiedlicher DBMS aufgezeigt.
== Zeitbasierte Attacken in MySQL ==

Eine zeitbasierte SQLi Attacke exemplarisch für den Datenbanksystemtypen MySQL ist simpel durchzuführen. Die Funktionen <code style="color: #3e6e93">SLEEP()</code> und <code style="color: #3e6e93">BENCHMARK()</code> können in ein entsprechend präpariertes SQL-Statement integriert werden. Das Code-Beispiel unten führt auf wie ein Angreifer eine Schwachstelle eines Parameters auf SQLi Verwundbarkeit prüfen kann. Eine zeitverzögerte Antwort würde bedeuten, dass die Applikation eine MySQL Datenbank nutzt.

MySQL verzögerte Injection "QUERY" mit integrierter "SLEEP" Funktion:
<code style="color: #3e6e93">SELECT * FROM table_t WHERE id=1-SLEEP(15)</code>

MySQL verzögerte Injection "QUERY" mit integrierter "BENCHMARK" Funktion:
<code style="color: #3e6e93">SELECT * FROM table_t WHERE id=1-BENCHMARK(100000000, rand())</code>

Der Angreifer kann ebenfalls weiterführende Informationen extrahieren, um Folgeannahmen zu bestätigen. Dies kann mit der Integration einer zeitbasierten Abfrage innerhalb eines Bedingungs-Statements geschehen. In MySQL ist dies erneut sehr simpel durchzuführen da eine <code style="color: #3e6e93">IF()</code> Funktion / Bedingung vorhanden ist. Folgendes Beispiel macht das Erschließen von Informationen in Kombination mit Zeitbasierten Attacken noch einmal deutlich, um die Datenbankversion zu ermitteln:

MySQL verzögerte Injection um die DB Version zu ermitteln:
<code style="color: #3e6e93">SELECT * FROM table_t WHERE id=1-IF(MID(VERSION(),1,1) = '8'-SLEEP(15), 0)</code>

Wenn die Applikation, bzw. der DBMS Server länger als 15 Sekunden für die Antwort benötigt kann von den Annahmen ausgegangen werden, dass es sich um ein MySQL Datenbanksystem in der Version 8 handelt. Im Beispiel wird die Funktion <code style="color: #3e6e93">SLEEP()</code> genutzt, es könnte jedoch ebenfalls <code style="color: #3e6e93">BENCHMARK</code> genutzt werden.
== Zeitbasierte Attacken in Transact-SQL (MS-SQL Server) ==

Um Zeitverzögerungen in Transact-SQL Abfragen zu integrieren, müssen Stapelabfragen (Stacked SQL Queries) genutzt werden. Dies ist ebenfalls eine einfache Vorgehensweise. Im unten aufgeführten Beispiel prüft ein Angreifer, ob eine Tabelle eines MS-SQL Servers eine Schwachstelle aufweist.

Transact-SQL verzögerte Injection mit integrierter SLEEP Funktion:
<code style="color: #7fba00">SELECT * FROM table_t WHERE id=1; WAIT FOR DELAY '00:00:15'</code>

Mit der Nutzung von Anweisungen mit Bedingungen ist es möglich auch weiteführende Informationen aus dem System zu ermitteln. Statt der Version wird im folgenden Beispiel versucht den Namen des Systemadministrators des DBS zu ermitteln.

Transact-SQL verzögerte Injection um das Vorhandensein des DBS-Admin "sa" zu bestätigen:
<code style="color: #7fba00">SELECT * FROM table_t WHERE id=1; IF SYSTEM_USER='sa' WAIT FOR DELAY '00:00:15'</code>
(*Hinweis: MS SQL-Server haben in der Regel einen Built-In DBS-Administrator mit dem Benutzernamen "sa")

In Transact-SQL wird die Anweisung <code style="color: #7fba00">WAIT FOR TIME</code> seltener genutzt, kann aber sehr hilfreich sein um SQL-Injection Sicherheitssysteme zu umgehen falls diese nur auf die häufiger genutzte <code style="color: #7fba00">WAIT FOR DELAY</code> Anweisung prüfen.

== Zeitbasierte Attacken in Oracle PL/SQL ==

Oracle weist bei zeitbasierten Attacken einige Besonderheiten auf. Die Funktion <code style="color: #c74634">SLEEP()</code> kann genutzt werden, jedoch muss diese in einer PL/SQL Block Anweisung wie im folgenden Beispiel dargestellt wird integriert werden.

Oracle PL/SQL Block Anweisung mit 15 Sek. Verzögerung:
<code style="color: #c74634">BEGIN DBMS_LOCK.SLEEP(15); END;</code>

Die Besonderheit bei Oracle ist, dass keine Stapelabfragen (Stacked SQL Queries) unterstützt werden. Die einzige Möglichkeit eine, wie oben aufgeführte Abfrage, an die Datenbank durchzureichen wäre ein SQL Injection Versuch, das Vorhandensein einer Schwachstelle im PL/SQL Quellcode oder in einem anonymen PL/SQL Block ausfindig zu machen. Die Eintrittswahrscheinlichkeit ist jedoch äußerst gering und selten.

Eine Alternative bietet in PL/SQL das Absetzen einer Abfrage die hohe Ressourcen beansprucht statt der <code style="color: #c74634">SLEEP()</code> Funktion:

Oracle PL/SQL Abfrage, um hohe Last zu erzeugen:
<code style="color: #c74634">SELECT count(*) FROM all_users A, all_users B, all_users C;</code>

Bei einer kleinen Datenbank würde die oben genannten Abfrage keine hohe Last erzeugen. Sobald man jedoch die Tabellenanzahl in der Abfrage erhöht und die Abfrage gegen eine größere Datenbank ausgeführt wird kann dies erhebliche Last und Zeitverzögerungen erzeugen.
Im Vergleich zu anderen Datenbanksystemen sollte von Abfragen die hohe Last erzeugen abgesehen werden, bei Oracle ist dies die einzige Möglichkeit zeitbasierte SQLi Attacken durchzuführen.

== Vorteile und Nachteile zeitbasierter SQL Injection Attacken und Bezug auf die IT-Forensik==

Zeitbasierte SQL Injection Attacken bieten den Vorteil, dass sehr wenig Ungewöhnliches, bzw. Auffälligkeiten in den Logs des Datenbanksystems ausfindig zu machen sind. Sobald jedoch zeitbasierte SQLi Attacken durchgeführt werden, die sehr ressourcenintensiv für das Datenbanksystem sind kann sich dies in den Protokollen niederschlagen und fällt auch im Nachgang in der Forensik auf.

Die Länge der Zeitverzögerung muss ebenfalls betrachtet werden, insbesondere dann, wenn Web-Anwendungen die Schnittstelle zum Datenbanksystem bilden. Die System- und Netzwerkauslastung können hier Einfluss auf das gewünschte Resultat haben. Sehr genaue Planung und Timing werden in diesem Fall erforderlich damit die gewünschten Ergebnisse hiervon nicht beeinträchtigt werden.

Um zeitbasierte SQL Injection Attacken forensisch zu ermitteln und zu analysieren sind über die Prüfung der datenbankspezifischen Logs hinaus auch die Applikations- und Serverlogs erforderlich um ein so genaues Bild wie möglich zu einer gefundenen Auffälligkeit zu schaffen.

== Quellen ==

Zeitbasierte SQL Injection Attacken

2022-02-23T21:15:47Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:15:20Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:14:49Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:14:32Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:08:21Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:06:48Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:06:27Z

St190800:

Zeitbasierte SQL Injection Attacken

2022-02-23T21:06:03Z

St190800: /* SQL Injection mit einer Zeitverzögerung (Time Delay) */

Zeitbasierte SQL Injection Attacken

2022-02-23T21:05:44Z

St190800: /* SQL Injection mit einer Zeitverzögerung (Time Delay) */

Zeitbasierte SQL Injection Attacken

2022-02-23T20:57:22Z

St190800: /* Zeitbasierte SQL-Injection Attacken */

Zeitbasierte SQL Injection Attacken

2022-02-23T20:56:53Z

St190800:

= Zeitbasierte SQL-Injection Attacken =

Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".

=== SQL Injection mit einer Zeitverzögerung (Time Delay) ===

-----

Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.

In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL-Anfrage verzögert werden kann in einigen Beispielen an unterschiedlichen DBMS Typen.

{| class="wikitable"
|-
! DBMS !! Befehl !! Beispiel !! Kommentare
|-
| MySQL || SLEEP(Zeit) || SELECT ... SLEEP(60) || Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.
|-
| MySQL || BENCHMARK(Anzahl, Ausdruck) || SELECT BENCHMARK(100000000, 'SELECT ...') || Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
|-
| MS-SQL, Transact-SQL || WAITFOR DELAY 'hh:mm:ss' || SELECT ... WAITFOR DELAY '00:00:15' SELECT ... || Verzögert die Ausführung des Befehls um den angegebenen Zeitraum
|-
| MS-SQL, Transact-SQL || WAITFOR TIME 'hh:mm:ss' || SELECT ... WAITFOR TIME '14:15:00' SELECT ... || Verzögert die Ausführung des Befehls und führt diesen fort, wenn der angegebene Zeitpunkt erreicht ist
|}
*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken im Voraus zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt, sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.

Das Identifizieren von Schwachstellen ist nicht der einzige Einsatzzweck zeitbasierter SQLi Attacken. Sofern der Angreifer Verzögerungen in Prozeduren, bzw. Statements mit Bedingungen (z.B. CASE oder IF) integriert, ist es möglich, dass die Zieldatenbank Systeminformationen oder auch Daten preisgibt. Diese Methode basiert auf dem Inferenzansatz oder auch der Informationserschließung.

Vereinfacht dargestellt, wenn ein Angreifer eine Zeitverzögerung in ein Bedingungs-Statement integriert, hat der Angreifer die Möglichkeit geschaffen dem Zieldatenbanksystem eine Ja/Nein Frage zu stellen. Die Antwort des Datenbanksystems hängt somit von diesem Zeitfaktor ab (wäre fallweise ungewöhnlich lang) und lässt den Angreifer ermitteln, ob die Antwort Ja oder Nein war und daraus weiterführende Informationen erschließen.

In folgender Tabelle werden exemplarisch für einige Datenbanksysteme beispielhaft Bedingungs-Statements aufgeführt:

Zeitbasierte SQL Injection Attacken

2022-02-23T20:56:27Z

St190800:

== Zeitbasierte SQL-Injection Attacken ==

Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".

=== SQL Injection mit einer Zeitverzögerung (Time Delay) ===

-----

Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.

In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL-Anfrage verzögert werden kann in einigen Beispielen an unterschiedlichen DBMS Typen.

{| class="wikitable"
|-
! DBMS !! Befehl !! Beispiel !! Kommentare
|-
| MySQL || SLEEP(Zeit) || SELECT ... SLEEP(60) || Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.
|-
| MySQL || BENCHMARK(Anzahl, Ausdruck) || SELECT BENCHMARK(100000000, 'SELECT ...') || Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
|-
| MS-SQL, Transact-SQL || WAITFOR DELAY 'hh:mm:ss' || SELECT ... WAITFOR DELAY '00:00:15' SELECT ... || Verzögert die Ausführung des Befehls um den angegebenen Zeitraum
|-
| MS-SQL, Transact-SQL || WAITFOR TIME 'hh:mm:ss' || SELECT ... WAITFOR TIME '14:15:00' SELECT ... || Verzögert die Ausführung des Befehls und führt diesen fort, wenn der angegebene Zeitpunkt erreicht ist
|}
*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken im Voraus zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt, sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.

Das Identifizieren von Schwachstellen ist nicht der einzige Einsatzzweck zeitbasierter SQLi Attacken. Sofern der Angreifer Verzögerungen in Prozeduren, bzw. Statements mit Bedingungen (z.B. CASE oder IF) integriert, ist es möglich, dass die Zieldatenbank Systeminformationen oder auch Daten preisgibt. Diese Methode basiert auf dem Inferenzansatz oder auch der Informationserschließung.

Vereinfacht dargestellt, wenn ein Angreifer eine Zeitverzögerung in ein Bedingungs-Statement integriert, hat der Angreifer die Möglichkeit geschaffen dem Zieldatenbanksystem eine Ja/Nein Frage zu stellen. Die Antwort des Datenbanksystems hängt somit von diesem Zeitfaktor ab (wäre fallweise ungewöhnlich lang) und lässt den Angreifer ermitteln, ob die Antwort Ja oder Nein war und daraus weiterführende Informationen erschließen.

In folgender Tabelle werden exemplarisch für einige Datenbanksysteme beispielhaft Bedingungs-Statements aufgeführt:

Zeitbasierte SQL Injection Attacken

2022-02-23T20:53:34Z

St190800:

== '''<big>Zeitbasierte SQL Injection Attacken</big>''' ==

Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".

=== SQL Injection mit einer Zeitverzögerung (Time Delay) ===

-----

Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.

In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL-Anfrage verzögert werden kann in einigen Beispielen an unterschiedlichen DBMS Typen.

{| class="wikitable"
|-
! DBMS !! Befehl !! Beispiel !! Kommentare
|-
| MySQL || SLEEP(Zeit) || SELECT ... SLEEP(60) || Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.
|-
| MySQL || BENCHMARK(Anzahl, Ausdruck) || SELECT BENCHMARK(100000000, 'SELECT ...') || Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
|-
| MS-SQL, Transact-SQL || WAITFOR DELAY 'hh:mm:ss' || SELECT ... WAITFOR DELAY '00:00:15' SELECT ... || Verzögert die Ausführung des Befehls um den angegebenen Zeitraum
|-
| MS-SQL, Transact-SQL || WAITFOR TIME 'hh:mm:ss' || SELECT ... WAITFOR TIME '14:15:00' SELECT ... || Verzögert die Ausführung des Befehls und führt diesen fort, wenn der angegebene Zeitpunkt erreicht ist
|}
*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken im Voraus zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt, sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.

Das Identifizieren von Schwachstellen ist nicht der einzige Einsatzzweck zeitbasierter SQLi Attacken. Sofern der Angreifer Verzögerungen in Prozeduren, bzw. Statements mit Bedingungen (z.B. CASE oder IF) integriert, ist es möglich, dass die Zieldatenbank Systeminformationen oder auch Daten preisgibt. Diese Methode basiert auf dem Inferenzansatz oder auch der Informationserschließung.

Vereinfacht dargestellt, wenn ein Angreifer eine Zeitverzögerung in ein Bedingungs-Statement integriert, hat der Angreifer die Möglichkeit geschaffen dem Zieldatenbanksystem eine Ja/Nein Frage zu stellen. Die Antwort des Datenbanksystems hängt somit von diesem Zeitfaktor ab (wäre fallweise ungewöhnlich lang) und lässt den Angreifer ermitteln, ob die Antwort Ja oder Nein war und daraus weiterführende Informationen erschließen.

In folgender Tabelle werden exemplarisch für einige Datenbanksysteme beispielhaft Bedingungs-Statements aufgeführt:

Zeitbasierte SQL Injection Attacken

2022-02-23T20:49:36Z

St190800:

<big>Zeitbasierte SQL Injection Attacken</big>

Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".

<big>SQL Injection mit einer Zeitverzögerung (Time Delay)</big>

-----

Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.

In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL-Anfrage verzögert werden kann in einigen Beispielen an unterschiedlichen DBMS Typen.

{| class="wikitable"
|-
! DBMS !! Befehl !! Beispiel !! Kommentare
|-
| MySQL || SLEEP(Zeit) || SELECT ... SLEEP(60) || Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.
|-
| MySQL || BENCHMARK(Anzahl, Ausdruck) || SELECT BENCHMARK(100000000, 'SELECT ...') || Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
|-
| MS-SQL, Transact-SQL || WAITFOR DELAY 'hh:mm:ss' || SELECT ... WAITFOR DELAY '00:00:15' SELECT ... || Verzögert die Ausführung des Befehls um den angegebenen Zeitraum
|-
| MS-SQL, Transact-SQL || WAITFOR TIME 'hh:mm:ss' || SELECT ... WAITFOR TIME '14:15:00' SELECT ... || Verzögert die Ausführung des Befehls und führt diesen fort, wenn der angegebene Zeitpunkt erreicht ist
|}
*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.

Zeitbasierte SQL Injection Attacken

2022-02-23T20:48:45Z

St190800: Die Seite wurde neu angelegt: „<big>Zeitbasierte SQL Injection Attacken</big> Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingesch…“

Hauptseite

2022-02-23T20:03:29Z

St190800: /* Z */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]