Zeitbasierte SQL Injection Attacken - Versionsgeschichte

St190800 am 23. Februar 2022 um 23:08 Uhr

2022-02-23T23:08:02Z

St190800 am 23. Februar 2022 um 21:15 Uhr

2022-02-23T21:15:47Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:15 Uhr
Zeile 2:		Zeile 2:

	Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".		Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".
			== SQL Injection mit einer Zeitverzögerung (Time Delay) ==

	=== SQL Injection mit einer Zeitverzögerung (Time Delay) ===

	Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.		Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.
Zeile 45:		Zeile 43:
	Wie ersichtlich wird unterscheiden sich die injizierten Statements geringfügig abhängig vom Zweck der zeitbasierten Attacke.		Wie ersichtlich wird unterscheiden sich die injizierten Statements geringfügig abhängig vom Zweck der zeitbasierten Attacke.
	Im Folgenden Abschnitt werden exemplarische Beispiele anhand unterschiedlicher DBMS aufgezeigt.		Im Folgenden Abschnitt werden exemplarische Beispiele anhand unterschiedlicher DBMS aufgezeigt.
			== Zeitbasierte Attacken in MySQL ==

	=== Zeitbasierte Attacken in MySQL ===

	Eine zeitbasierte SQLi Attacke exemplarisch für den Datenbanksystemtypen MySQL ist simpel durchzuführen. Die Funktionen SLEEP() und Benchmark() können in ein entsprechend präpariertes SQL-Statement integriert werden. Das Code-Beispiel unten führt auf wie ein Angreifer eine Schwachstelle eines Parameters auf SQLi Verwundbarkeit prüfen kann. Eine zeitverzögerte Antwort würde bedeuten, dass die Applikation eine MySQL Datenbank nutzt.		Eine zeitbasierte SQLi Attacke exemplarisch für den Datenbanksystemtypen MySQL ist simpel durchzuführen. Die Funktionen SLEEP() und Benchmark() können in ein entsprechend präpariertes SQL-Statement integriert werden. Das Code-Beispiel unten führt auf wie ein Angreifer eine Schwachstelle eines Parameters auf SQLi Verwundbarkeit prüfen kann. Eine zeitverzögerte Antwort würde bedeuten, dass die Applikation eine MySQL Datenbank nutzt.

St190800 am 23. Februar 2022 um 21:15 Uhr

2022-02-23T21:15:20Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:15 Uhr
Zeile 4:		Zeile 4:


	== SQL Injection mit einer Zeitverzögerung (Time Delay) ==		=== SQL Injection mit einer Zeitverzögerung (Time Delay) ===

	Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.		Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.
Zeile 47:		Zeile 47:


	== Zeitbasierte Attacken in MySQL ==		=== Zeitbasierte Attacken in MySQL ===

	Eine zeitbasierte SQLi Attacke exemplarisch für den Datenbanksystemtypen MySQL ist simpel durchzuführen. Die Funktionen SLEEP() und Benchmark() können in ein entsprechend präpariertes SQL-Statement integriert werden. Das Code-Beispiel unten führt auf wie ein Angreifer eine Schwachstelle eines Parameters auf SQLi Verwundbarkeit prüfen kann. Eine zeitverzögerte Antwort würde bedeuten, dass die Applikation eine MySQL Datenbank nutzt.		Eine zeitbasierte SQLi Attacke exemplarisch für den Datenbanksystemtypen MySQL ist simpel durchzuführen. Die Funktionen SLEEP() und Benchmark() können in ein entsprechend präpariertes SQL-Statement integriert werden. Das Code-Beispiel unten führt auf wie ein Angreifer eine Schwachstelle eines Parameters auf SQLi Verwundbarkeit prüfen kann. Eine zeitverzögerte Antwort würde bedeuten, dass die Applikation eine MySQL Datenbank nutzt.

St190800 am 23. Februar 2022 um 21:14 Uhr

2022-02-23T21:14:49Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:14 Uhr
Zeile 5:		Zeile 5:

	== SQL Injection mit einer Zeitverzögerung (Time Delay) ==		== SQL Injection mit einer Zeitverzögerung (Time Delay) ==


	Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.		Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.

St190800 am 23. Februar 2022 um 21:14 Uhr

2022-02-23T21:14:32Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:14 Uhr
Zeile 16:		Zeile 16:
	! DBMS !! Befehl !! Beispiel !! Kommentare		! DBMS !! Befehl !! Beispiel !! Kommentare
	\|-		\|-
	\| MySQL \|\| SLEEP(Zeit) \|\| SELECT ... SLEEP(60) \|\| Die Zeitangabe erfolgt in Sekunden~~<br>~~		\| MySQL \|\| SLEEP(Zeit) \|\| SELECT ... SLEEP(60) \|\| Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.
	und ist verfügbar ab MySQL Version 5.
	\|-		\|-
	\| MySQL \|\| BENCHMARK(Anzahl, Ausdruck) \|\| SELECT BENCHMARK(100000000, 'SELECT ...') \|\| Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren		\| MySQL \|\| BENCHMARK(Anzahl, Ausdruck) \|\| SELECT BENCHMARK(100000000, 'SELECT ...') \|\| Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
Zeile 36:		Zeile 35:
	{\| class="wikitable"		{\| class="wikitable"
	\|-		\|-
	! DBMS !! Bedingungs-~~<br>~~		! DBMS !! Bedingungs- Anweisung !! Kommentare
	!! ~~Überschrift~~
	\|-		\|-
	\| ~~Beispiel~~ \|\| ~~Beispiel~~ \|\| ~~Beispiel~~		\| MySQL \|\| IF(Bedingung, wenn_wahr, wenn_falsch) \|\| Nur innerhalb eines SQL Statements möglich. In einer Prozedur ist die Syntax analog zu der von Oracle-SQL (PL-SQL)
	\|-		\|-
	\| ~~Beispiel~~ \|\| ~~Beispiel~~ \|\| ~~Beispiel~~		\| MS-SQL, Transact-SQL \|\| IF Bedingung, wenn_wahr [ELSE wenn_falsch] \|\| Nur innerhalb einer Prozedur oder Stapelabfrage (Stacked SQL Query) möglich
	\|-		\|-
	\| ~~Beispiel~~ \|\| ~~Beispiel~~ \|\| ~~Beispiel~~		\| Oracle, PL/SQL \|\| IF Bedingung THEN wenn_wahr [ELSE wenn_falsch] END IF \|\| Nur in PL/SQL möglich
	\|}		\|}

			Wie ersichtlich wird unterscheiden sich die injizierten Statements geringfügig abhängig vom Zweck der zeitbasierten Attacke.
			Im Folgenden Abschnitt werden exemplarische Beispiele anhand unterschiedlicher DBMS aufgezeigt.


			== Zeitbasierte Attacken in MySQL ==

			Eine zeitbasierte SQLi Attacke exemplarisch für den Datenbanksystemtypen MySQL ist simpel durchzuführen. Die Funktionen SLEEP() und Benchmark() können in ein entsprechend präpariertes SQL-Statement integriert werden. Das Code-Beispiel unten führt auf wie ein Angreifer eine Schwachstelle eines Parameters auf SQLi Verwundbarkeit prüfen kann. Eine zeitverzögerte Antwort würde bedeuten, dass die Applikation eine MySQL Datenbank nutzt.

St190800 am 23. Februar 2022 um 21:08 Uhr

2022-02-23T21:08:21Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:08 Uhr
Zeile 10:		Zeile 10:

	In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL-Anfrage verzögert werden kann in einigen Beispielen an unterschiedlichen DBMS Typen.		In folgender Tabelle wird exemplarisch aufgezeigt, wie die Ausführung der SQL-Anfrage verzögert werden kann in einigen Beispielen an unterschiedlichen DBMS Typen.


	{\| class="wikitable"		{\| class="wikitable"
Zeile 15:		Zeile 16:
	! DBMS !! Befehl !! Beispiel !! Kommentare		! DBMS !! Befehl !! Beispiel !! Kommentare
	\|-		\|-
	\| MySQL \|\| SLEEP(Zeit) \|\| SELECT ... SLEEP(60) \|\| Die Zeitangabe erfolgt in Sekunden und ist verfügbar ab MySQL Version 5.		\| MySQL \|\| SLEEP(Zeit) \|\| SELECT ... SLEEP(60) \|\| Die Zeitangabe erfolgt in Sekunden<br>
			und ist verfügbar ab MySQL Version 5.
	\|-		\|-
	\| MySQL \|\| BENCHMARK(Anzahl, Ausdruck) \|\| SELECT BENCHMARK(100000000, 'SELECT ...') \|\| Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren		\| MySQL \|\| BENCHMARK(Anzahl, Ausdruck) \|\| SELECT BENCHMARK(100000000, 'SELECT ...') \|\| Führt die Anweisung vielfach aus. Mit der Nutzung einer zu Beginn hohen Zahl ist es möglich eine Verzögerung im Zieldatenbanksystem zu generieren
Zeile 31:		Zeile 33:

	In folgender Tabelle werden exemplarisch für einige Datenbanksysteme beispielhaft Bedingungs-Statements aufgeführt:		In folgender Tabelle werden exemplarisch für einige Datenbanksysteme beispielhaft Bedingungs-Statements aufgeführt:

			{\| class="wikitable"
			\|-
			! DBMS !! Bedingungs-<br>
			!! Überschrift
			\|-
			\| Beispiel \|\| Beispiel \|\| Beispiel
			\|-
			\| Beispiel \|\| Beispiel \|\| Beispiel
			\|-
			\| Beispiel \|\| Beispiel \|\| Beispiel
			\|}

St190800 am 23. Februar 2022 um 21:06 Uhr

2022-02-23T21:06:48Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:06 Uhr
Zeile 5:		Zeile 5:

	== SQL Injection mit einer Zeitverzögerung (Time Delay) ==		== SQL Injection mit einer Zeitverzögerung (Time Delay) ==



Zeile 25:		Zeile 24:
	\|}		\|}
	<small>*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken im Voraus zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt, sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.</small>		<small>*Hinweis: Es ist von Vorteil für die Ausführung von zeitbasierten Attacken im Voraus zu wissen um welchen Typ Datenbanksystem es sich bei dem Zielsystem handelt. Sofern dies nicht bekannt ist, ist es möglich unterschiedliche zeitbasierte Anfragen abzusetzen, bis eine Antwort vom Zieldatenbanksystem zurückgegeben wird. Falls keine dieser Möglichkeiten zum gewünschten Ergebnis führt, sollte auf die Ergebnisse von "Enumerieren" und "Fingeprinting" für das Zielsystem zurückgegriffen werden, um den Datenbanktypen zu ermitteln.</small>


	Das Identifizieren von Schwachstellen ist nicht der einzige Einsatzzweck zeitbasierter SQLi Attacken. Sofern der Angreifer Verzögerungen in Prozeduren, bzw. Statements mit Bedingungen (z.B. CASE oder IF) integriert, ist es möglich, dass die Zieldatenbank Systeminformationen oder auch Daten preisgibt. Diese Methode basiert auf dem Inferenzansatz oder auch der Informationserschließung.		Das Identifizieren von Schwachstellen ist nicht der einzige Einsatzzweck zeitbasierter SQLi Attacken. Sofern der Angreifer Verzögerungen in Prozeduren, bzw. Statements mit Bedingungen (z.B. CASE oder IF) integriert, ist es möglich, dass die Zieldatenbank Systeminformationen oder auch Daten preisgibt. Diese Methode basiert auf dem Inferenzansatz oder auch der Informationserschließung.

St190800 am 23. Februar 2022 um 21:06 Uhr

2022-02-23T21:06:27Z

← Nächstältere Version		Version vom 23. Februar 2022, 21:06 Uhr
Zeile 1:		Zeile 1:


	Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".		Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".


	== SQL Injection mit einer Zeitverzögerung (Time Delay) ==		== SQL Injection mit einer Zeitverzögerung (Time Delay) ==

St190800: /* SQL Injection mit einer Zeitverzögerung (Time Delay) */

2022-02-23T21:06:03Z

SQL Injection mit einer Zeitverzögerung (Time Delay)

← Nächstältere Version		Version vom 23. Februar 2022, 21:06 Uhr
Zeile 4:		Zeile 4:
	== SQL Injection mit einer Zeitverzögerung (Time Delay) ==		== SQL Injection mit einer Zeitverzögerung (Time Delay) ==

	~~-----~~

	Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.		Zeitbasierte Attacken können genutzt werden, um grundlegende Informationen zur Datenbank zu ermitteln oder das Vorhandensein einer Schwachstelle. Es ist keine unübliche Vorgehensweise, wenn ein Angreifer mit einer zeitbasierten "Deep Blind SQLi" Attacke dem Zieldatenbanksystem Informationen entlocken will.

St190800: /* SQL Injection mit einer Zeitverzögerung (Time Delay) */

2022-02-23T21:05:44Z

SQL Injection mit einer Zeitverzögerung (Time Delay)

← Nächstältere Version		Version vom 23. Februar 2022, 21:05 Uhr
Zeile 2:		Zeile 2:
	Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".		Zeitbasierte SQL Injection Attacken werden häufig dann genutzt, wenn andere Arten von SQLi wenig oder eingeschränkte Ergebnisse vom Zieldatenbanksystem liefern. Diese zeitbasierte Angriffsmethode schleust komplexere Abfragen in das SQL-Statement, die wiederum zu Zeitverzögerungen bei den Antworten oder hoher Auslastung am Zieldatenbanksystem führen sollen. Abhängig von der Zeit, die das Datenbanksystem benötigt, um zu antworten ist es möglich einige Informationen daraus zu ermitteln (Inferenzansatz, Informationserschließung). Diese Herangehensweise der Deduktion von Informationen ist sehr nützlich für sog. "Blind SQLi" und "Deep Blind SQLi".

	=== SQL Injection mit einer Zeitverzögerung (Time Delay) ===		== SQL Injection mit einer Zeitverzögerung (Time Delay) ==

	-----		-----