Auf Injection-Schwachstellen testen

Eine Injection-Schwachstelle entsteht, wenn nicht vertrauenswürdige Daten als Teil eines Befehls oder einer Abfrage an einen Interpreter gesendet werden. Der Interpreter kann Daten nicht von Befehlen unterscheiden und führt dadurch eine vom Angreifer kontrollierte Logik aus. SQL-, Command-, LDAP-, XPath- und Template-Injection gehören zu dieser Klasse.

Beginnen Sie mit einfachen Payloads, um auf SQL-Injection zu testen. Ein einzelnes Anführungszeichen verursacht in verwundbaren Anwendungen einen SQL-Syntaxfehler. Prüfen Sie Fehlermeldungen, Unterschiede in der Antwortlänge und die Antwortzeit.

SQLMap automatisiert die Erkennung und Ausnutzung von SQL-Injection: Es erkennt Injektionspunkte, identifiziert das DBMS und kann Datenbanken auslesen, Dateien lesen sowie auf verwundbaren Systemen die Ausführung von Code auf Betriebssystemebene erreichen.

Command-Injection entsteht, wenn Benutzereingaben an Shell-Funktionen des Betriebssystems übergeben werden. Testen Sie mit Shell-Metazeichen: Semikolons, Pipes, Backticks und der Befehlsersetzung $().

LDAP-Injection manipuliert LDAP-Abfragen, die für Authentifizierung und Verzeichnissuchen verwendet werden. Testen Sie Authentifizierungsfelder mit: *)(uid=*))(|(uid=*, um Filter zu umgehen.

XPath-Injection zielt auf XML-basierte Authentifizierungssysteme. Ähnlich wie bei SQLi manipulieren die Payloads XPath-Abfragen: ' or '1'='1, um die Authentifizierung zu umgehen.

Server-Side Template Injection tritt auf, wenn Benutzereingaben in einer Template-Engine (Jinja2, Twig, Freemarker) gerendert werden. Zur Erkennung injizieren Sie {{7*7}} — wenn die Antwort 49 enthält, liegt SSTI vor.

Senden Sie Anfragen an Repeater und injizieren Sie manuell Payloads in jeden Parameter. Verwenden Sie Intruder, um das Fuzzing mit Injection-Wortlisten zu automatisieren (SecLists enthält hervorragende Injection-Payloads).

Wenn keine sichtbare Ausgabe vorhanden ist, verwenden Sie Zeitverzögerungen zur Bestätigung der Ausführung, Out-of-Band-DNS-Callbacks (Burp Collaborator oder interactsh) und boolesche Antworten (Änderungen der Inhaltslänge).

Ausführliche Fehlermeldungen geben Aufschluss über Datenbanktyp, Abfragestruktur und Dateipfade — unschätzbar für das Erstellen präziser Payloads. Testen Sie neben normalen Payloads immer auch Eingaben, die Debug-Informationen oder Fehlerdetails sichtbar machen.

Injection wird verhindert durch: parametrisierte Abfragen (SQLi), Eingabevalidierung und Shell-Escaping (Command-Injection) sowie den Verzicht darauf, Benutzereingaben in Templates zu rendern (SSTI). Entwickler müssen diese Maßnahmen verstehen, um sicheren Code zu schreiben.

Was bestätigt die SSTI-Erkennungs-Payload {{7*7}}, wenn die Antwort 49 enthält?

Injection-Schwachstellen entstehen durch die Vermischung von Daten und Befehlen. Testen Sie jede benutzerkontrollierte Eingabe mit Payloads für SQL-, Command-, Template- und LDAP-Injection. Verwenden Sie SQLMap für automatisierte SQL-Injection, Burp Repeater für manuelle Tests und Zeitverzögerungs- sowie OOB-Techniken für Blind-Exploitation. Dokumentieren Sie Payloads und Belege stets für den Bericht.