Willkommen bei Injection und Cross-Site-Scripting

Injection-Angriffe und Cross-Site-Scripting (XSS) gehören zu den häufigsten Schwachstellen in Webanwendungen.

Was ist ein Injection-Angriff?

Injection-Angriffe treten auf, wenn nicht vertrauenswürdige Eingaben als Teil eines Befehls oder einer Abfrage an einen Interpreter gesendet werden.

Arten von Injection-Angriffen

• SQL Injection – Nutzt eine Datenbank aus, indem schädliche SQL-Abfragen eingeschleust werden.
• Command Injection – Führt beliebige Befehle auf dem Hostsystem aus.
• LDAP Injection – Manipuliert LDAP-Abfragen, um die Authentifizierung zu umgehen.

Beispiel für SQL Injection

Ein Angreifer kann SQL-Abfragen verändern, um die Authentifizierung zu umgehen.

SELECT * FROM users WHERE username = 'admin' --' AND password = 'password';

Was ist Cross-Site-Scripting (XSS)?

XSS ermöglicht es Angreifern, schädliche Skripte in von Benutzern aufgerufene Webseiten einzuschleusen.

Arten von XSS

• Stored XSS – Das schädliche Skript wird dauerhaft auf dem Zielserver gespeichert.
• Reflected XSS – Das Skript wird von einem Webserver zurückgegeben und im Browser eines Benutzers ausgeführt.
• DOM-based XSS – Das Skript wird im Browser des Benutzers ausgeführt, indem das DOM der Seite verändert wird.

Injection und XSS verhindern

• Verwenden Sie parametrisierte Abfragen.
• Implementieren Sie eine geeignete Eingabevalidierung.
• Maskieren Sie Sonderzeichen in Benutzereingaben.
• Verwenden Sie eine Content Security Policy (CSP), um XSS zu verhindern.

Tools zum Erkennen von Injection und XSS

• Burp Suite – Scanner für Webschwachstellen.
• SQLmap – Automatisiertes Tool für SQL-Injection.
• OWASP ZAP – Sicherheitsscanner für Webanwendungen.

Zusammenfassung

Injection- und XSS-Angriffe stellen kritische Risiken für die Websicherheit dar. Sichere Programmierpraktiken helfen, diese Bedrohungen zu verhindern.