Was ist ein SQL-Injektionsangriff?
Sie wissen vielleicht nicht, was ein SQL-Injektionsangriff (SQLI) ist oder wie er funktioniert, aber Sie kennen definitiv die Opfer. Target, Yahoo, Zappos, Equifax, Epic Games, TalkTalk, LinkedIn und Sony Pictures - all diese Unternehmen wurden von Cyberkriminellen mithilfe von SQL-Injektionen gehackt.
Ein SQLI ist eine Art von Angriff, bei dem Cyberkriminelle Software-Schwachstellen in Webanwendungen ausnutzen, um Daten zu stehlen, zu löschen oder zu verändern oder um die administrative Kontrolle über die Systeme zu erlangen, auf denen die betroffenen Anwendungen laufen.
Cybersecurity-Forscher betrachten SQLI als eine der am wenigsten ausgeklügelten, leicht zu verteidigenden Cyberbedrohungen. Malwarebytes Labs setzte SQLI auf Platz drei der "Top 5 Dumbest Cyber Threats that Work Anyway" (Die 5 dümmsten Cyberbedrohungen, die trotzdem funktionieren) und führte an, dass SQLI ein bekannter, vorhersehbarer Angriff mit leicht zu implementierenden Gegenmaßnahmen ist.
SQLI-Angriffe sind in der Tat so einfach, dass Angreifer anfällige Websites mit Hilfe der advanced Google-Suche, dem so genannten Google Dorking, finden können. Sobald sie ein geeignetes Ziel gefunden haben, können SQLI-Angreifer automatisierte Programme verwenden, um den Angriff effektiv für sie auszuführen. Alles, was sie tun müssen, ist, die URL der Zielsite einzugeben und zuzusehen, wie die gestohlenen Daten eintrudeln.
Und doch sind SQLI-Angriffe alltäglich und finden jeden Tag statt. Wenn Sie eine Website oder ein Online-Geschäft betreiben, haben Cyberkriminelle wahrscheinlich bereits versucht, mithilfe von SQLI in Ihre Website einzudringen. Eine Studie des Ponemon Institute zum Thema "The SQL Injection Threat & Recent Retail Breaches" ergab, dass 65 % der befragten Unternehmen Opfer eines SQLI-basierten Angriffs wurden.
Zu den häufig angegriffenen Webanwendungen gehören: Websites sozialer Medien, Online-Händler und Universitäten. Kleine und mittelständische Unternehmen sind besonders gefährdet, da sie oft nicht mit den Techniken vertraut sind, die Cyberkriminelle bei einem SQLI-Angriff einsetzen, und auch nicht wissen, wie sie sich gegen einen solchen Angriff schützen können.
Lassen Sie uns also den ersten Schritt zur Abwehr einer SQL-Injektion tun, indem wir uns über dieses Thema informieren. Hier ist Ihr Grundwissen über SQL-Injektionen.
"Ein SQLI ist eine Art von Angriff, bei dem Cyberkriminelle Software-Schwachstellen in Webanwendungen ausnutzen, um Daten zu stehlen, zu löschen oder zu verändern oder um die administrative Kontrolle über die Systeme zu erlangen, auf denen die betroffenen Anwendungen laufen."
Wie funktioniert eine SQL-Injektion?
SQL (kurz für Structured Query Language) wurde in den frühen 70er Jahren entwickelt und ist eine der ältesten Programmiersprachen, die heute noch für die Verwaltung von Online-Datenbanken verwendet wird. Diese Datenbanken enthalten Dinge wie Preise und Lagerbestände für Online-Einkaufsseiten. Wenn ein Benutzer auf Datenbankinformationen zugreifen muss, wird SQL verwendet, um auf diese Daten zuzugreifen und sie dem Benutzer zu präsentieren. Diese Datenbanken können aber auch sensiblere und wertvollere Daten wie Benutzernamen und Kennwörter, Kreditkarteninformationen und Sozialversicherungsnummern enthalten. An dieser Stelle kommen SQL-Injections ins Spiel.
Vereinfacht gesagt, handelt es sich um eine SQL-Injektion, wenn kriminelle Hacker bösartige Befehle in Webformulare wie das Suchfeld, das Anmeldefeld oder die URL einer unsicheren Website eingeben, um unbefugten Zugriff auf sensible und wertvolle Daten zu erhalten.
Hier ein Beispiel. Stellen Sie sich vor, Sie gehen auf Ihre bevorzugte Online-Kleiderbörse. Sie kaufen Socken ein und sehen eine bunte Welt voller Socken, die Sie mit einem Mausklick bestellen können. Was für ein Wunder der Technik! Jede Socke, die Sie sehen, existiert in einer Datenbank auf irgendeinem Server. Wenn Sie eine Socke finden, die Ihnen gefällt, und darauf klicken, senden Sie eine Anfrage an die Sockendatenbank, und die Einkaufswebsite antwortet mit den Informationen über die Socke, auf die Sie geklickt haben. Stellen Sie sich nun vor, dass Ihre bevorzugte Online-Einkaufswebsite schlampig aufgebaut ist und viele ausnutzbare SQL-Schwachstellen aufweist.
Ein Cyberkrimineller kann Datenbankabfragen so manipulieren, dass eine Anfrage nach Informationen über ein Paar Socken die Kreditkartennummer eines unglücklichen Kunden zurückgibt. Indem er diesen Vorgang immer und immer wieder wiederholt, kann ein Cyberkrimineller die Tiefen der Datenbank ausloten und vertrauliche Informationen über jeden Kunden stehlen, der jemals auf Ihrer bevorzugten Online-Bekleidungsseite eingekauft hat - Sie eingeschlossen. Um das Gedankenexperiment noch weiter zu führen, stellen Sie sich vor, Sie wären der Besitzer dieser Bekleidungs-Website. Sie haben es mit einem riesigen Datenleck zu tun.
Durch einen SQLI-Angriff können Cyberkriminelle persönliche Informationen, E-Mails, Logins, Kreditkartennummern und Sozialversicherungsnummern von Millionen von Verbrauchern erlangen. Cyberkriminelle können diese persönlichen Daten dann in den dunkelsten Ecken des Dark Web verkaufen und für alle möglichen illegalen Zwecke verwenden.
Gestohlene E-Mails können für Phishing- und Malspam-Angriffe verwendet werden. Malspam-Angriffe wiederum können genutzt werden, um die Opfer mit allen Arten von zerstörerischer Malware wie Ransomware, Adware, Cryptojackern und Trojanern (z. B. Emotet) zu infizieren, um nur einige zu nennen. Gestohlene Telefonnummern für Android und iOS können für Robo-Anrufe und SMS-Spam missbraucht werden.
Gestohlene Logins von Social-Networking-Websites können sogar dazu verwendet werden, Spam-Nachrichten zu versenden und noch mehr Logins für zusätzliche Websites zu stehlen. Malwarebytes Labs hat bereits über gehackte LinkedIn-Konten berichtet, die dazu verwendet wurden, andere Nutzer mit InMail-Nachrichten zu spammen, die gefälschte URLs enthielten, die wie eine Google Docs-Anmeldeseite aussahen, über die Cyberkriminelle Google-Benutzernamen und -Passwörter abgreifen konnten.
"Ein Cyberkrimineller kann Datenbankabfragen so manipulieren, dass eine Anfrage nach Informationen über ein Paar Socken die Kreditkartennummer eines unglücklichen Kunden liefert.
Was ist die Geschichte der SQL-Injektionen?
Der SQL-Injection-Exploit wurde erstmals 1998 von dem Cyber-Sicherheitsforscher und Hacker Jeff Forristal dokumentiert. Seine Erkenntnisse wurden in dem seit langem erscheinenden Hacker-Zine Phrack veröffentlicht. Unter dem Pseudonym Rain Forest Puppy erklärte Forristal, wie jemand mit grundlegenden Programmierkenntnissen unautorisierte SQL-Befehle an legitime SQL-Befehle anhängen und sensible Informationen aus der Datenbank einer ungesicherten Website abrufen konnte.
Als Forristal Microsoft darüber informierte, wie sich die Sicherheitslücke auf ihr beliebtes SQL Server-Produkt auswirkt, wurde dies nicht als Problem angesehen. Forristal drückte es so aus: "Laut ihnen [Microsoft] ist das, was Sie gleich lesen werden, kein Problem, also machen Sie sich keine Sorgen, etwas dagegen zu unternehmen."
Was Microsofts nachlässige Reaktion so schockierend macht, ist die Tatsache, dass viele Branchen und Institutionen (damals wie heute) auf die Datenbankverwaltungstechnologie des Unternehmens angewiesen waren, um ihren Betrieb aufrechtzuerhalten, darunter der Einzelhandel, das Bildungswesen, das Gesundheitswesen, das Bankwesen und das Personalwesen. Dies führt uns zum nächsten Ereignis in der SQLI-Geschichte - dem ersten großen SQLI-Angriff.
Im Jahr 2007 wurde die größte Supermarktkette der Vereinigten Staaten, 7-Eleven, Opfer eines SQLI-Angriffs. Die russischen Hacker nutzten SQL-Injektionen, um sich in die 7-Eleven-Website einzuhacken und von dort aus in die Datenbank mit den Debitkarten der Kunden des Supermarktes einzudringen. Auf diese Weise konnten die Hacker dann in Russland Bargeld abheben. Insgesamt erbeuteten die Täter zwei Millionen Dollar, wie das Magazin Wired berichtete.
Nicht alle SQLI-Angriffe sind durch Habgier motiviert. In einem anderen bemerkenswerten Beispiel aus dem Jahr 2007 nutzten Cyberkriminelle SQLI, um die administrative Kontrolle über zwei Websites der US-Armee zu erlangen und Besucher auf Websites mit antiamerikanischer und anti-israelischer Propaganda umzuleiten.
Die Datenpanne bei MySpace im Jahr 2008 ist einer der größten Angriffe auf eine Verbraucher-Website. Die Cyberkriminellen stahlen E-Mails, Namen und teilweise Passwörter von fast 360 Millionen Konten. Das ist der Grund, warum wir Passwörter nicht von einer Website zur nächsten wiederverwenden.
Der Titel für den ungeheuerlichsten Mangel an Sicherheit geht an Equifax. Bei der Datenpanne von Equifax im Jahr 2017 wurden äußerst persönliche Informationen (d. h. Namen, Sozialversicherungsnummern, Geburtsdaten und Adressen) von 143 Millionen Verbrauchern abgegriffen. Man sollte meinen, dass eine Organisation, die als Hüterin der Informationen jedes einzelnen Amerikaners fungiert - mit Ausnahme derjenigen, die nicht im Netz leben -, Vorkehrungen gegen einen einfachen SQLI-Angriff treffen würde. Vor der Datenpanne warnte ein Cybersecurity-Forschungsunternehmen Equifax sogar davor, dass das Unternehmen für einen SQLI-Angriff anfällig sei, aber die Kreditauskunftei büro ergriff keine Maßnahmen, bis es zu spät war.
Ein SQLI-Angriff auf den Spielzeughersteller Vtech aus dem Jahr 2015, der als der gruseligste Hack der Geschichte gilt, führte dazu, dass die Daten von fast fünf Millionen Eltern und 200.000 Kindern abgegriffen wurden. In einem Gespräch mit der Online-Multimedia-Publikation Motherboard behauptete der verantwortliche Hacker, er habe keine Angebote für die Daten gehabt und sie nirgendwo online veröffentlicht. Umgekehrt erklärte der Hacker auch, dass die Daten sehr leicht zu stehlen waren und jemand anderes sie zuerst hätte bekommen können. In der Tat ein schwacher Trost.
Heute ist der SQLI-Angriff immer noch ein Thema. Alle drei Jahre erstellt das Open Web Application Security Project (OWASP) eine Rangliste der 10 kritischsten Risiken für Webanwendungen Security . In der jüngsten Ausgabe 2017 stand der SQLI-Angriff auf Platz eins.
Abgesehen von der Langlebigkeit des SQLI-Angriffs ist interessant, dass sich die SQLI-Angriffe in keiner Weise verändert oder weiterentwickelt haben. SQLI-Angriffe funktionieren und werden weiterhin funktionieren, bis die Menschen ihre Einstellung zur Cybersicherheit ändern. Sei diese Veränderung.
Nachrichten über SQL-Injektionen
- Was ist ein Honeypot? Wie sie in der Cybersicherheit eingesetzt werden
- Interview mit einem Wanzen-Kopfgeldjäger: Youssef Sammouda
- Ein Zero-Day-Leitfaden für 2020: Aktuelle Angriffe und advanced Präventivtechniken
- Schwachstellen in mobilen Finanzanwendungen gefährden Verbraucher und Unternehmen
- Wie Sie Ihr Content-Management-System sichern
- Erklärt: SQL-Einschleusung
- OWASP Top Ten - Langweilige Sicherheit, die sich auszahlt
- Die 5 dümmsten Cyber-Bedrohungen, die trotzdem funktionieren
Welche Auswirkungen haben SQL-Injections auf mein Unternehmen?
Wie in unserem Bericht "Cybercrime Tactics and Techniques" berichtet, sind Cyberangriffe (aller Art) auf Unternehmen in der zweiten Jahreshälfte 2018 um 55 % gestiegen, während Angriffe auf einzelne Verbraucher nur um 4 % zugenommen haben. Die Statistiken sind nicht überraschend. Unternehmen mit mangelhaften Sicherheitsvorkehrungen sind für Kriminelle ein leichtes Ziel, da sie einen Schatz an wertvollen Daten im Wert von Millionen besitzen.
Umgekehrt kann ein Unternehmen, das in den Mittelpunkt einer Datenschutzverletzung gerät, mit Millionenbeträgen rechnen. Eine IBM-Studie ergab, dass sich die durchschnittlichen Kosten einer Datenschutzverletzung, einschließlich Abhilfemaßnahmen und Strafen, auf 3,86 Millionen US-Dollar belaufen. Der bereits erwähnte Datenschutzverstoß bei LinkedIn kostete die Business-Networking-Website in einer außergerichtlichen Einigung 1,25 Millionen Dollar.
Nach dem Datenschutzverstoß musste Target den bislang höchsten Betrag - 18,5 Millionen Dollar - zahlen, um die von mehreren Bundesstaaten eingeleiteten Untersuchungen beizulegen. Dies geschah zusätzlich zu den 10 Millionen Dollar, die Target zur Beilegung einer von Verbrauchern angestrengten Sammelklage zahlte.
Zugegeben, es handelt sich um große Datenschutzverletzungen, die Millionen von Verbrauchern betreffen. Kleine bis mittlere Unternehmen müssen jedoch immer noch mit 148 Dollar pro gestohlenem Kundendatensatz rechnen.
Die Moral von der Geschicht? Nehmen Sie Ihre Sicherheit ernst und vermeiden Sie es, ein "Ziel" für Cyber-Kriminelle zu sein.
Wie kann ich mich vor SQL-Injections schützen?
Abgesehen von diesem Händeringen sind Sie hier, weil Sie wissen, dass SQL-Injections eine ernsthafte Bedrohung darstellen. Lassen Sie uns jetzt etwas dagegen tun. Hier finden Sie einige Tipps zum Schutz Ihres Unternehmens vor SQL-Injection-Angriffen.
Aktualisieren Sie Ihre Datenbankverwaltungssoftware. Ihre Software ist fehlerhaft, so wie sie vom Hersteller geliefert wird. Das ist eine Tatsache. So etwas wie fehlerfreie Software gibt es nicht. Cyberkriminelle können diese Software-Schwachstellen oder Exploits mit einem SQLI ausnutzen. Sie können sich schützen, indem Sie einfach Ihre Datenbankverwaltungssoftware mit Patches versehen und aktualisieren.
Durchsetzung des Prinzips der geringsten Privilegien (PoLP). PoLP bedeutet, dass jedes Konto nur so viel Zugriff hat, dass es seine Aufgabe erfüllen kann, und nicht mehr. Beispielsweise sollte ein Webkonto, das nur Lesezugriff auf eine bestimmte Datenbank benötigt, nicht die Möglichkeit haben, Daten zu schreiben, zu bearbeiten oder zu ändern.
Verwenden Sie vorbereitete Anweisungen oder gespeicherte Prozeduren. Im Gegensatz zu dynamischem SQL begrenzen vorbereitete Anweisungen die Variablen der eingehenden SQL-Befehle. Auf diese Weise können Cyberkriminelle keine bösartigen SQL-Injektionen in legitime SQL-Anweisungen einbauen. Gespeicherte Prozeduren schränken die Möglichkeiten von Cyberkriminellen in ähnlicher Weise ein, indem sie SQL-Anweisungen in der Datenbank speichern, die vom Benutzer über die Webanwendung ausgeführt werden.
Stellen Sie kompetente, erfahrene Entwickler ein. SQLI-Angriffe sind oft auf schlampige Programmierung zurückzuführen. Teilen Sie Ihren Softwareentwicklern im Voraus mit, was Sie in puncto Sicherheit erwarten.
Was ist, wenn meine persönlichen Daten bei einer Datenschutzverletzung gestohlen wurden? Sie sollten einen Blick auf unsere Checkliste für Datenschutzverletzungen werfen. Dort erfahren Sie alles über die Bereinigung und den Schutz nach einem SQLI-Angriff, von dem Sie betroffen sind.
Besuchen Sie OWASP. Das Open Web Application Security Project, kurz OWASP, ist die führende Autorität für Webanwendungen und bietet eine Menge zusätzlicher Informationen zur Vermeidung von SQL-Injektionen.
Und wenn Sie gar nicht genug von SQL-Injektionen bekommen können, besuchen Sie den BlogMalwarebytes Labs , um sich über die neuesten Entwicklungen in der Welt der Cyberbedrohungen und der Cybersicherheit zu informieren.