SQL-Injection beheben: Grundlagen

SQL-Injection passiert, wenn ein Programm eine Datenbankfrage baut, indem es das, was jemand eingetippt hat, in den Text der Frage klebt. Dann kann die Person die Frage vorzeitig beenden und eine eigene schreiben. Du suchst in einem kleinen Shop, bringst seine Suchseite dazu, Dinge herauszugeben, die sie nicht herausgeben sollte, behebst die eine Codezeile, die das erlaubt, und zeigst, dass der Angriff nicht mehr funktioniert.

Die Suche des Shops ist eine Webadresse. curl -s ruft sie auf, und -G --data-urlencode hängt deinen Suchbegriff hinter die Adresse, wobei Anführungszeichen und Leerzeichen unschädlich gemacht werden. Die Suche nach pen gibt eine Zeile aus, Pen 1.2: den Namen und den Preis.

Im Programm wird deine Suche zwischen zwei Anführungszeichen geklebt. Ein Anführungszeichen in deiner Suche beendet sie vorzeitig, OR 1=1 ist für jede Zeile wahr, und -- macht den Rest der Frage zu einem Kommentar. Der Shop listet sieben Produkte auf, darunter Staff discount card und Unreleased drone. Sie sind nicht im Verkauf und dürften nie gezeigt werden. Derselbe Trick mit UNION SELECT kann nach einer ganz anderen Tabelle fragen. Probiere das selbst: Der Shop hat eine Tabelle users.

Das Programm liegt im Container, und die schwache Zeile ist die, die mit rows = beginnt. Sie fügt deine Suche mit + in die Frage ein. Eine parametrisierte Abfrage schickt die Frage und deine Suche getrennt an die Datenbank. Was du getippt hast, kann so immer nur ein Wert sein und nie Teil der Frage. Das ? zeigt, wo der Wert hingehört, und die Suche wird daneben übergeben. Von Hand öffnest du das Programm mit docker exec -it app vi /tmp/app/app.py und ersetzt diese Zeile (i zum Tippen, Esc und dann :wq zum Speichern). Der nächste Befehl macht dieselbe Änderung für dich, mit dieser Zeile:

rows = db.execute("SELECT name, price FROM products WHERE public = 1 AND name LIKE ?", ("%" + term + "%",)).fetchall()

Das ersetzt genau diese eine Zeile. Der Shop liest sein Programm nur einmal beim Start, deshalb startet docker restart die neue Version. Das dauert etwa zehn Sekunden und gibt dann app aus. Steht in seinem Kasten noch, dass es läuft, warte auf app im Terminal, bevor du weitermachst.

Derselbe Angriff wie in Schritt 2 gibt jetzt gar nichts mehr aus. Die Datenbank hat nach einem Produkt gesucht, dessen Name den ganzen Text x' OR 1=1 -- enthält, und es gibt keins.

Eine Reparatur, die den Shop kaputt macht, ist keine Reparatur. lab-check probiert eine normale Suche, eine Suche nach Baker's (ein Produkt mit einem Anführungszeichen im Namen, bei dem das schwache Programm mit einem Datenbankfehler scheiterte), das OR und das UNION und gibt für jedes PASS oder FAIL aus. Alle vier zeigen PASS, und die letzte Zeile ist All checks pass. Drücke in der Lab-Leiste auf Lab beenden und dann auf Lab starten und führe den Befehl noch einmal aus: Deine Reparatur ist noch da, weil das Programm in einem benannten Volume liegt und die Plattform Volumes speichert.