IT-Forensik Wiki - Benutzerbeiträge [de]

Testpoint

2024-06-04T10:36:04Z

St190865: Die Seite wurde neu angelegt: „__FORCETOC__ == Testpoints == Im Zusammenhang mit der Datenextraktion mobiler Endgeräte (Mobiltelefone, Tablets) kann die Verwendung von Testpoints auf der Platine der Geräte notwendig sein, um bestimmte Betriebszustände des Geräts herbeizuführen. Zumeist handelt es sich um zwei Kontaktflächen, die vor dem Gerätestart zu brücken sind oder um eine Kontaktfläche, mit der ein Masseschluss zu erzeugen ist. <ref>NIST - Guidelines on Cell Phone Foren…“

__FORCETOC__

== Testpoints ==

Im Zusammenhang mit der Datenextraktion mobiler Endgeräte (Mobiltelefone, Tablets) kann die Verwendung von Testpoints auf der Platine der Geräte notwendig sein, um bestimmte Betriebszustände des Geräts herbeizuführen. Zumeist handelt es sich um zwei Kontaktflächen, die vor dem Gerätestart zu brücken sind oder um eine Kontaktfläche, mit der ein Masseschluss zu erzeugen ist. <ref>NIST - Guidelines on Cell Phone
Forensics - 6.5.3 Hardware-based Methods, [online, 04.06.2024] https://www.govinfo.gov/content/pkg/GOVPUB-C13-PURL-LPS96630/pdf/GOVPUB-C13-PURL-LPS96630.pdf#page=54</ref>

Da Testpoints auf der Platine der Geräte zu finden sind und aktuelle Mobiltelefone zumeist bei der Herstellung verklebt werden, ist ein beschädigungsfreier Zugriff meist nicht möglich.

== Beispiele ==

[[Datei:ZTE_A32_TP.jpg|500px|thumb|left|Testpoint, um bei einem ZTE A32 den Unisoc-BROM-Modus zu triggern.]]

[[Datei:TP Fire 7 SV98LN.jpeg|500px|thumb|left|
Testpoint, um bei einem Amazon Fire Tablet 7 den MTK-BROM-Modus zu triggern.]]

Nebenstehend werden Beispiele für den Aufruf des BROM (BootROM)-Modus verschiedener Geräte gezeigt. Diese Punkte sind im ausgeschalteten Zustand mit Masse (flächige Metallkomponenten im Gerät) zu brücken. Anschließend wird das Gerät über USB mit der forensischen Workstation verbunden und es kann über spezielle Software mit dem Geräte-Bootloader kommuniziert werden. Meist ist dazu kein eingesetzter Akku im Gerät erforderlich.

Kommerzielle Produkte, die Bootloader-Extraktionen unter Verwendung von Testpoints anbieten sind beispielsweise:

[https://oxygenforensics.com/en/resources/category/oxygen-forensic-detective/product-updates/device-extractor/ Oxygen Forensic Device Extractor]
[https://www.msab.com/de/product/xry-extract/ XRY Extract]
[https://cellebrite.com/de/cellebrite-ufed-de/ Cellebrite UFED4PC]
[https://www.passware.com/kit-mobile/ Passware Mobile]

Beispiele für frei verfügbare Software:

[https://github.com/bkerler/edl/ Qualcomm Sahara / Firehose Attack Client]
[https://github.com/bkerler/mtkclient/ MTKClient]
[https://github.com/neo-technologies/rkflashtool/ RKFlashtool]
[https://github.com/linux-sunxi/sunxi-tools/ Sunxi-Tools]

Ältere Android-Geräte erlauben über eine Bootloader-Sicherung das Erstellen physikalischer Datenträgerabbilder. Bei neueren Geräten wird der Zugriff auf den Bootloader mit der Ausnutzung von Hardware-Schwachstellen kombiniert, um Hardware-Schlüssel zu extrahieren und eine Offline-Entschlüsselung der Sicherung zu ermöglichen.

Einige Hersteller kombinieren für den Aufruf des Bootloader-Modus die Verwendung spezieller Kabel. So erfordern viele Huawei-Geräte zusätzlich die Verwendung eines "Harmony-Kabels".<ref>Passware - Huawei Kirin-based devices - How to work with special test-point cables for Huawei devices?, [online, 04.06.2024] https://support.passware.com/hc/en-us/articles/5322634311575-Huawei-Kirin-based-devices</ref>

== Bootmodi ==

Verschiedene Hersteller von ARM-Chips (SoCs) implementieren spezielle Bootmodi für Wartungszwecke. Als Beispiele seien genannt:

Qualcomm: Emergency Download Mode (EDL) <ref>Passware - Qualcomm Test Point Gallery, [online, 04.06.2024] https://support.passware.com/hc/en-us/articles/15470087921687-Qualcomm-test-point-gallery</ref>
Mediatek: BootROM (BROM) Mode <ref>Connect-Professional - Oxygen Forensics: Datenextraktion mit Mediatek-Chipsatz, [online, 04.06.2024]
https://www.connect-professional.de/datacenter-verkabelung/oxygen-forensics-datenextraktion-mit-mediatek-chipsatz.322718.html</ref>
Allwinner: FEL Mode <ref>linux-sunxi.org - FEL, [online, 04.06.2024] https://linux-sunxi.org/FEL</ref>
Rockchip: Maskrom Mode <ref>Kobol - Maskrom Mode, [online, 04.06.2024] https://wiki.kobol.io/helios64/maskrom/</ref>

== Prinzip ==

Zum Teil wird mit dem Testpoint ein Signal gesetzt, welches über den Bootrom den Start des enstprechenden Modus triggert. Häufig handelt es sich jedoch um eine Rückfallebene, die aufgerufen wird, wenn der Gerätespeicher (eMMC, UFS) nicht lesbar ist. In diesem Fall wird über die gesetzte Brücke der Kontakt zum Speicher blockiert. Auch bei auftretenden Speicherfehlern kann es so zum Aufruf entsprechender Bootmodi kommen (Brick).

== Quellen ==

Datei:TP Fire 7 SV98LN.jpeg

2024-06-04T09:21:49Z

St190865: Testpoint, um bei einem Amazon Fire Tablet 7 den MTK-BROM-Modus zu triggern.

== Beschreibung ==
Testpoint, um bei einem Amazon Fire Tablet 7 den MTK-BROM-Modus zu triggern.

Datei:ZTE A32 TP.jpg

2024-06-04T09:15:20Z

St190865: Testpoint, um bei einem ZTE A32 den BROM-Modus zu triggern.

== Beschreibung ==
Testpoint, um bei einem ZTE A32 den BROM-Modus zu triggern.

Write Blocker

2022-02-09T20:03:00Z

St190865: /* Write Blocker */

== Write Blocker ==
Die durch den Ermittler oder Analysten auszuwertenden Daten und Informationen dürfen im Falle einer IT-Forensischen Untersuchung nicht verändert werden, damit diese für ein eventuelles gerichtliches Verfahren beweissicher sind. Änderungen können, sofern diese nicht entsprechend lesend gesichtet werden, durch den Auswerter aber auch z.B. durch Computer-Viren verursacht werden. Um Änderungen während einer Auswertung zu vermeiden, können Schreibblocker (write blocker) eingesetzt werden. Diese gibt es als Hardware oder Software.

Ein Writeblocker wird zwischen den zu duplizierenden Datenträger und das Computersystem, mit dem das Duplikat erstellt werden soll, angeschlossen. Er lässt lediglich Lesezugriffe auf den Datenträger zu und filtert Schreibzugriffe. Writeblocker existieren für viele Festplatten- und Datenträger-Schnittstellen, beispielsweise SATA, IDE, SCSI und USB.

=== Hardware ===
Bei der Hardware-Variante handelt es sich um Geräte, die zwischen den Festplatten Controller und die Festplatte angeschlossen werden. Schreibende Kommandos werden technisch unterdrückt.1)

Hardware-Schreibblocker sind auf Schnelligkeit optimiert. Beispiele für Hardware Schreibblocker sind der Logicube und Tableau. Logicube erstellt Hashwerte und imaged ein Verzeichnis mit einer Rate von 3GB/min. Forensische Duplikatoren mit Schreibblocker sind portabel, klein und ersetzen sperrige PCs am Arbeitsplatz.2)

=== Software ===
Software write blocker sollen ebenfalls Veränderungen am Datenträger verhindern. Es werden bei der Software-Variante nur wenige bestimmte Befehle zum Datenträger weitergeleitet. Sie haben den Ruf, weniger sicher und effizient als eine Hardware-Lösung sein.1)

Software Schreibblocker gibt es in mehreren Varianten. Sie werden entweder als Zusatzsoftware zu existiernenden Bestriebssystemen implementiert und blocken dort das Schreiben auf dem auswertenden Gerät. Die Alternative ist ein Schreibblocker, der als eigenständiger Dienst bootbar ist.2)

=== Vorteile Hardware-Schreibblocker ===
Der Vorteil einer Hardwarelösung ist, dass Inhalte der zu sichtenden Daten und Informationen nicht durch Sicherheitslücken einer Software manipulierbar sind.1)

=== Nachteile Software-Schreibblocker ===
Software-Schreibblocker sind limitiert durch die Portgeschwindigkeit der Ports, die geblockt werden. Zusätzlich wird die Schreibgeschwindigkeit durch Overhead für den Schreibblock-Prozess reduziert.2)

== Einzelbelege ==
* 1) Forensische Informatik, Andreas Dewald, Felix C. Freiling;ISBN-13: 978-3842379473
* 2) [https://www.sciencedirect.com/science/article/pii/B9780128038437000405 Cyber Forensics], Scott R. Ellis, in [https://www.sciencedirect.com/book/9780128038437 Computer and Information Security Handbook (Third Edition)], 2013)

== Bericht zum praktischer Einsatz eines Write Blockers ==

Zur '''Erstellung eines Images''' wird ein '''Write Blocker''' der Firma Tableau verwendet.
Dabei wurden die Daten eines USB-Sticks, die als '''Beweismittel''' zu sichern waren, als logisches
Image auf die Forensik-Arbeitsstation kopiert.

Zur Gewährleistung der '''Unversehrtheit der Daten''' auf dem USB-Stick wurde ein Write-Blocker eingesetzt.
Zum '''Nachweis''' der Unversehrheit der Daten wurden die Hashwerte gebildet.
Das "'''Vier-Augen-Prinzip'''" bekräftigt die geforderte "'''Chain of Custody'''".

Das Szenario, mit dem der Write Blocker getestet wurde, war ein z.B. im Rahmen der Strafverfolgung sichergestellter USB-Stick mit darauf gespeicherten Beweisstücken.

[[Datei:Image1.jpg|mini]]
Abbildung: 1 – Beweisstück USB-Stick mit darauf gespeicherten Dateien

Um diesen USB-Stick als Beweisstück zu sichern und in der forensischen Analyse einzusetzen, wird nun der Aufbau mit dem Write Blocker hergestellt: Host (Forensik) < Write Blocker < USB-Stick.

[[Datei:Image2.jpg|mini]]
Abbildung: 2 – Komponenten zum Erstellen des logischen Abbildes

Der Write Blocker wird zwischen den Host und das Beweisstück USB-Stick geschaltet. Damit wird verhindert, dass beim Sichern der Inhalte des USB Sticks keine Veränderungen auf dem USB Stick eintreten. Der Write Blocker verhindert auf anerkannte Weise den Schreibzugriff auf dem USB-Stick. Auf der anderen Seite wird der lesende Zugriff auf den USB-Stick ermöglicht.
Der Write Blocker verfügt über einen USB-Port zum Anschluss des Beweisstücks, eine Stromversorgung und ein USB 3.0 Ausgang zur Verbindung des Gerätes mit dem Host.

[[Datei:Image3.jpg|mini]]
Abbildung: 3 – Write Blocker mit Bedienungsanleitung und Zubehör

Es gibt Write Blocker mit unterschiedlichen Anschlussmöglichkeiten z.B. für SATA, SCSI Festplatten oder weitere Endgeräte mit spezifischen Steckern für das jeweilige Medium.
In der Reihenfolge 1) Einstecken des USB Sticks (Beweisstück) 2) Verbindung zum Host 3) Stromverbindung wird nun die Verbindung hergestellt.

[[Datei:Image4.jpg|mini]]
Abbildung: 4 – Gesamtaufbau Host < Write Blocker < Beweisstück USB-Stick

Im nächsten Schritt werden die Hashwerte der Inhalte des USB Sticks gebildet. Somit wird von Vorneherein sichergestellt, Aussagen zur Integrität der Beweismittel treffen zu können. Jede spätere Veränderung der Daten wird dadurch nachgewiesen werden können, dass erneut ein Hashwert - hier md5- der Daten gebildet wird. Nur wenn die Hashwerte übereinstimmen, ist die Datei unverändert. Bereits beim Erstellen der Hashwerte und generell beim Aufbau Host < Write Blocker < USB Stick ist das Vier-Augen-Prinzip einzuhalten. In diesem ersten Beispiel wurden die Hashwerte mit den Linux-Funktionen des Hosts gebildet:
z.B. für die Datei “File01.pdf”: echo File01.pdf | md5sum File01.pdf > Hash_File01.txt

[[Datei:Image5.jpg|mini]]
Abbildung: 5 – Erstellen der Hashwerte (Integrität, Gerichtsfestigkeit)

Nach dem Bilden der Hashwerte kann dann das Image gezogen werden oder, wie in diesem Falle ausprobiert, die Dateien von dem USB Stick auf den Host (Forensik-Arbeitsstation) kopiert werden. Nach dem Kopieren werden erneut die Hashwerte gebildet und verglichen.

[[Datei:Image6.jpg|mini]]
Abbildung: 6 – logisches Abbild der Inhalte des USB-Sticks

Eine andere Möglichkeit wäre gewesen, weitere Werkzeuge einzusetzen. So hätte beispielsweise der FTK Imager hier die Möglichkeit geboten, ein logisches Image des USB Sticks zu erstellen und in diesem Vorgang direkt auch die Verifikation durchzuführen, also die Hashwerte zu bilden. Hier wurde bewusst zunächst die manuelle Methode verwendet, um den Aufbau und die Vorgehensweise mit dem Write Blocker einzustudieren. Im nächsten Schritt wurde dann die Funktionalität des FTK Imagers verwendet, um das Image der Praktikumsaufgabe zu erstellen.

[[Datei:Image7.jpg|mini]]
Abbildung: 7 – Komponenten des Gesamtaufbaus

Der Vorgang wurde dokumentiert.
[[Datei:Dokumentation.pdf|mini|Write Blocker der Firma Tableau]]

Error Based SQL Injection

2022-02-09T19:53:36Z

St190865:

Bei der Error Based SQL Injection (auf deutsch: fehlerbasierte SQL Injektion) handelt es sich um eine Variante der In-Band SQL Injection. Sie gilt als eine Sonderform der SQL Injection, da sie sich Fehlermeldungen (z.B. Stacktraces oder Error Messages), die ungeprüft bzw. ungefiltert durch eine Applikation, Datenbank und/oder Webserver an den User zurückgegeben werden, zu nutze macht.¹) ²)

Durch das Senden von ungültigen Eingaben an die Datenbank werden Fehlermeldungen erzwungen.

Diese an den Anwender zurückgegebenen Fehlermeldungen enthalten dann Informationen aus/über das zugrundeliegende DBMS, den Aufbau bzw. die Struktur der Datenbank, das Filesystem oder die Middleware/Applikation, die ein Angreifer auswertet und für seinen Angriff benötigt.

Die Informationen reichen von einzelnen Tabellen/Spaltennamen bis hin zu vollständigen Zugangsdaten der Datenbank.
Unter Umständen reicht ein einzelner dieser Angriffe, um eine komplette Datenbank zu listen oder im Falle des Erlangens von administrativen Zugangsdaten zur Übernahme der Datenbank.

Während der Entwicklung einer Applikation sind solche Fehlermeldungen - besonders beim Debugging - sehr hilfreich und erforderlich. In Produktiv-/Liveumgebungen sollte die Ausgabe von Datenbank-Fehlermeldungen deaktiviert werden oder das Logging von Fehlermeldungen in einen geschützten Bereich (z.B. zentrales Log-Management) bzw. systemseitig in zugriffsbeschränkte Log-Files protokolliert werden.

Die Error Based SQL Injection ist neben der [[Blind SQL Injection|Blind]]- und Union SQL Injection eine der am häufigsten verwendeten Angriffsmöglichkeiten auf Datenbanksysteme.

Wird eine Abfrage mit zwei verschachtelten Queries (z.B. SELECT + GROUP BY über spezifische Spalte) abgesetzt, um an Fehlermeldungen zu gelangen, spricht man in diesem Fall auch häufig von einer sogenannten Double Query SQL Injection statt einer Error Based SQL Injection³.

Quellen:
¹) Buch von Justin Clarke „SQL-Injektion“ (Clarke, Justin. SQL Hacking . München, Germany: Franzis Verlag
GmbH,2016. 978-3-645-60466-6
²) https://medium.com/@hninja049/example-of-a-error-based-sql-injection-dce72530271c
³) https://skytale.academy/it-sicherheit-wiki.html

Blind SQL Injection

2022-02-09T19:37:58Z

St190865:

__FORCETOC__

== Blind SQL Injection ==

Bei blinden SQL-Angriffstechniken wird eine Schwachstelle aufgrund mangelnder Eingabebereinigung für Datenabfragen ausgenutzt, ohne dabei auf ausführliche Fehlermeldungen der Datenbank oder die In-Band-Verkettung zurückgreifen zu können. Ziel ist hierbei die Gewinnung von Informationen aus der Datenbank oder über die Datenbankabfrage.¹)

Es wird hierbei davon ausgegangen, dass ausführliche Fehlermeldungen durch den Datenbank-/Anwendungsbetreiber deaktiviert wurden, eine Verletzung der SQL-Syntax jedoch eine allgemeine Fehlerseite hervorruft. Weiter wird von einer SELECT-Abfrage ausgegangen, über welche dem Nutzer die gesuchten Daten präsentiert werden.
So werden verschiedene Anfragen an die Datenbank übermittelt. Für wahre und falsche Bedingungen werden unterschiedliche Antworten zurückgegeben. Häufig werden Blind SQL Injection Angriffe automatisiert durchgeführt, da eine große Anzahl von Anfragen nötig sein kann, um Rückschlüsse über die Datenbank und die Datenbankabfrage ziehen zu können. Ein Open-Source Tool, welches für automatisierte Blind SQL Injection Angriffe genutzt werden kann ist [[Sqlmap]].

== Beispiel ==

In einem Webshop werden verfügbare Artikel angeboten. Diese Artikel werden über den Zahlenwert "nr" unterschieden.
Die URL einer solchen Seite könnte entsprechend aufgebaut sein:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7</nowiki>

Die SQL-Anfrage an die Datenbank lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7

Ein Angreifer modifiziert die Anfrage und ergänzt das falsche Statement " AND 1=2":

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=2</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 AND 1=2

Da 1 ungleich 2 ist, gibt die Datenbank FALSE zurück und es werden keine Artikel ausgegeben.
Anschließend wird die stets wahre Bedingung "1=1" angefügt:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=1</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 AND 1=1

Die Datenbank gibt hier TRUE zurück und der Artikel mit der Nummer 7 wird wieder angezeigt. Dieses Verhalten lässt auf eine Anfälligkeit der Website auf SQL Injection Angriffe schließen.

== Quellen ==
¹) Buch von Justin Clarke „SQL-Injektion“ (Clarke, Justin. SQL Hacking . München, Germany: Franzis Verlag GmbH,2016. 978-3-645-60466-6)

Blind SQL Injection

2022-02-09T16:52:47Z

St190865: /* Beispiel */

== Blind SQL Injection ==

Bei blinden SQL-Angriffstechniken wird eine Schwachstelle aufgrund mangelnder Eingabebereinigung für Datenabfragen ausgenutzt, ohne dabei auf ausführliche Fehlermeldungen der Datenbank oder die In-Band-Verkettung zurückgreifen zu können. Ziel ist hierbei die Gewinnung von Informationen aus der Datenbank oder über die Datenbankabfrage.¹)

Es wird hierbei davon ausgegangen, dass ausführliche Fehlermeldungen durch den Datenbank-/Anwendungsbetreiber deaktiviert wurden, eine Verletzung der SQL-Syntax jedoch eine allgemeine Fehlerseite hervorruft. Weiter wird von einer SELECT-Abfrage ausgegangen, über welche dem Nutzer die gesuchten Daten präsentiert werden.
So werden verschiedene Anfragen an die Datenbank übermittelt. Für wahre und falsche Bedingungen werden unterschiedliche Antworten zurückgegeben. Häufig werden Blind SQL Injection Angriffe automatisiert durchgeführt, da eine große Anzahl von Anfragen nötig sein kann, um Rückschlüsse über die Datenbank und die Datenbankabfrage ziehen zu können. Ein Open-Source Tool, welches für automatisierte Blind SQL Injection Angriffe genutzt werden kann ist [[Sqlmap]].

== Beispiel ==

In einem Webshop werden verfügbare Artikel angeboten. Diese Artikel werden über den Zahlenwert "nr" unterschieden.
Die URL einer solchen Seite könnte entsprechend aufgebaut sein:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7</nowiki>

Die SQL-Anfrage an die Datenbank lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7

Ein Angreifer modifiziert die Anfrage und ergänzt das falsche Statement " AND 1=2":

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=2</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 AND 1=2

Da 1 ungleich 2 ist, gibt die Datenbank FALSE zurück und es werden keine Artikel ausgegeben.
Anschließend wird die stets wahre Bedingung "1=1" angefügt:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=1</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 AND 1=1

Die Datenbank gibt hier TRUE zurück und der Artikel mit der Nummer 7 wird wieder angezeigt. Dieses Verhalten lässt auf eine Anfälligkeit der Website auf SQL Injection Angriffe schließen.

== Quellen: ==
¹) Buch von Justin Clarke „SQL-Injektion“ (Clarke, Justin. SQL Hacking . München, Germany: Franzis Verlag GmbH,2016. 978-3-645-60466-6)

Blind SQL Injection

2022-02-09T15:56:49Z

St190865:

== Blind SQL Injection ==

Bei blinden SQL-Angriffstechniken wird eine Schwachstelle aufgrund mangelnder Eingabebereinigung für Datenabfragen ausgenutzt, ohne dabei auf ausführliche Fehlermeldungen der Datenbank oder die In-Band-Verkettung zurückgreifen zu können. Ziel ist hierbei die Gewinnung von Informationen aus der Datenbank oder über die Datenbankabfrage.¹)

Es wird hierbei davon ausgegangen, dass ausführliche Fehlermeldungen durch den Datenbank-/Anwendungsbetreiber deaktiviert wurden, eine Verletzung der SQL-Syntax jedoch eine allgemeine Fehlerseite hervorruft. Weiter wird von einer SELECT-Abfrage ausgegangen, über welche dem Nutzer die gesuchten Daten präsentiert werden.
So werden verschiedene Anfragen an die Datenbank übermittelt. Für wahre und falsche Bedingungen werden unterschiedliche Antworten zurückgegeben. Häufig werden Blind SQL Injection Angriffe automatisiert durchgeführt, da eine große Anzahl von Anfragen nötig sein kann, um Rückschlüsse über die Datenbank und die Datenbankabfrage ziehen zu können. Ein Open-Source Tool, welches für automatisierte Blind SQL Injection Angriffe genutzt werden kann ist [[Sqlmap]].

== Beispiel ==

In einem Webshop werden verfügbare Artikel angeboten. Diese Artikel werden über den Zahlenwert "nr" unterschieden.
Die URL einer solchen Seite könnte entsprechend aufgebaut sein:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7</nowiki>

Die SQL-Anfrage an die Datenbank lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7

Ein Angreifer modifiziert die Anfrage und ergänzt das falsche Statement " and 1=2":

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=2</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 and 1=2

Da 1 ungleich 2 ist, gibt die Datenbank FALSE zurück und es werden keine Artikel ausgegeben.
Anschließend wird die stets wahre Bedingung "1=1" angefügt:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=1</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 and 1=1

Die Datenbank gibt hier TRUE zurück und der Artikel mit der Nummer 7 wird wieder angezeigt. Dieses Verhalten lässt auf eine Anfälligkeit der Website auf SQL Injection Angriffe schließen.

== Quellen: ==
¹) Buch von Justin Clarke „SQL-Injektion“ (Clarke, Justin. SQL Hacking . München, Germany: Franzis Verlag GmbH,2016. 978-3-645-60466-6)

Blind SQL Injection

2022-02-09T12:45:08Z

St190865: Die Seite wurde neu angelegt: „== Blind SQL Injection == Bei blinden SQL-Angriffstechniken wird eine Schwachstelle aufgrund mangelnder Eingabebereinigung für Datenabfragen ausgenutzt, ohne…“

== Blind SQL Injection ==

Bei blinden SQL-Angriffstechniken wird eine Schwachstelle aufgrund mangelnder Eingabebereinigung für Datenabfragen ausgenutzt, ohne dabei auf ausführliche Fehlermeldungen der Datenbank oder die In-Band-Verkettung zurückgreifen zu können. Ziel ist hierbei die Gewinnung von Informationen aus der Datenbank oder über die Datenbankabfrage.¹)

Es wird hierbei davon ausgegangen, dass ausführliche Fehlermeldungen durch den Datenbank-/Anwendungsbetreiber deaktiviert wurden, eine Verletzung der SQL-Syntax jedoch eine allgemeine Fehlerseite hervorruft. Weiter wird von einer SELECT-Abfrage ausgegangen, über welche dem Nutzer die gesuchten Daten präsentiert werden.
So werden verschiedene Anfragen an die Datenbank übermittelt. Für wahre und falsche Bedingungen werden unterschiedliche Antworten zurückgegeben. Häufig werden Blind SQL Injection Angriffe automatisiert durchgeführt, da eine große Anzahl von Anfragen nötig sein kann, um Rückschlüsse über die Datenbank und die Datenbankabfrage ziehen zu können. Ein Open-Source Tool, welches für automatisierte Blind SQL Injection Angriffe genutzt werden kann ist [[Sqlmap]].

== Beispiel ==

In einem Webshop werden verfügbare Artikel angeboten. Diese Artikel werden über den Zahlenwert "nr" unterschieden.
Die URL einer solchen Seite könnte entsprechend aufgebaut sein:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7</nowiki>

Die SQL-Anfrage an die Datenbank lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7

Ein Angreifer modifiziert die Anfrage und ergänzt das falsche Statement " and 1=2":

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=2</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 and 1=2

Da 1 ungleich 2 ist, gibt die Datenbank FALSE zurück und es werden keine Artikel ausgegeben.
Anschließend wird die stets wahre Bedingung "1=1" angefügt:

<nowiki>http://www.it-shop24.test/artikel.php?nr=7%20and%201=1</nowiki>

Die neue SQL Anfrage lautet:

SELECT spaltenname, spaltenname2 FROM tabellenname WHERE nr = 7 and 1=1

Die Datenbank gibt hier TRUE zurück und der Artikel mit der Nummer 7 wird wieder angezeigt. Dieses Verhalten lässt auf eine Anfälligkeit der Website auf SQL Injection Angriffe schließen.

== Quellen: ==
¹) Buch von Justin Clarke „SQL-Injektion“ (Clarke, Justin. SQL Hacking . München, Germany:
Franzis Verlag GmbH,2016. 978-3-645-60466-6