Sqli- sql injection
Sqli - это техника, при которой злоумышленник использует недостатки в коде приложения, отвечающего за построение динамических SQL-запросов. Злоумышленник может получить доступ к привилегированным разделам приложения, получить всю информацию из базы данных, подменить существующие данные или даже выполнить опасные команды системного уровня на узле базы данных.
Каковы последствия успешной SQL-иньекции?
Успешная Sqli ведет за собой полный несанкционированный доступ к конфидециальным данным, такие как пароли, данные кредитных карт, или личная информация пользователей.Почти все утечки данных, именно из за этой уязвимости.В некоторых случаях хакер может получить постоянный черный ход в системе организаций, что приводит к долгосрочной узрозе.
Примеры Sqli
Получение скрытых данных, когда вы можете изменить SQL-запрос что бы вернуть дополнительные результаты.
Подрыв логики приложения, когда можно изменить запрос, чтобы вмешаться в логику приложения.
Атаки UNION когда можно получить данные из разных таблиц базы данных.
Изучение базы данных, когда можно получить информацию о версии и структуре базы данных.
Fortnite, 2019 г.
Fortnite – это онлайн-игра с аудиторией, насчитывающей более 350 млн игроков. В 2019 году была обнаружена уязвимость для SQL-инъекции, (https://www.vice.com/en/article/vba5nb/fornite-login-hack-epic-games-website) которая позволила злоумышленникам получить доступ к пользовательским учетным записям. Уязвимость впоследствии закрыли.
Cisco, 2018 г.
В 2018 году была найдена уязвимость для SQL-инъекции в Cisco Prime License Manager. Брешь позволила атакующим заполучить доступ к командной оболочке систем, на которых был развернут диспетчер лицензий Cisco. Компания Cisco впоследствии закрыла эту уязвимость.
Tesla, 2014 г.
В 2014 году специалисты по кибербезопасности заявили об успешном взломе веб-сайта Tesla методом SQL-инъекции – им удалось получить административные привилегии и украсть пользовательские данные.
Типы SQL-инъекций
В зависимости от способа получения доступа к данным бэкенд-сервера и потенциальных масштабов ущерба SQL-инъекции можно разделить на три категории:
Внутриполосная атака (In-band SQLi)
Это самый простой вид атаки для злоумышленников, так как для реализации атаки и сбора результатов используется один и тот же канал связи. Этот тип SQLi-атак разделяют на два подвида:
Атака на основе ошибок (Error-based SQLi).
При такой атаке действия злоумышленника приводят к тому, что база данных генерирует сообщение об ошибке. На основе полученных сообщений об ошибках злоумышленник пытается сформировать представление об инфраструктуре базы данных.
Атака на основе объединения (Union-based SQLi).
Атакующий получает необходимые данные путем объединения нескольких инструкций SELECT в единый ответ HTTP с помощью SQL-оператора UNION.
Инференциальная атака (Inferential SQLi, также известна как «слепая SQL-инъекция»)
При таких атаках злоумышленники изучают ответы и поведение сервера после отправки наборов данных, чтобы узнать больше о структуре базы данных. При этом никакие записи из базы данных веб-сайта не передаются злоумышленнику, и он не видит их в том же канале связи, как в случае внутриполосной атаки (этим и объясняется название «слепая SQL-инъекция»). Такие атаки разделяют на два подвида:
Слепая атака, основанная на времени (Time-based SQLi).
Атакующие направляют SQL-запрос к базе данных, вынуждая ее сделать задержку на несколько секунд, прежде чем она подтвердит или опровергнет полученный запрос.
Булевая слепая атака (Boolean SQLi).
Атакующие делают SQL-запрос к базе данных, ожидая получить результат в виде утвердительного или отрицательного ответа.
Внеполосная атака (Out-of-band SQLi)
Такая атака происходит в двух случаях:
когда атакующие не могут провести атаку и собрать данные через один и тот же канал связи.
когда сервер работает слишком медленно или нестабильно, чтобы достичь нужного результата.
Последствия атак на основе SQL-инъекции
Успешная SQLi-атака может нанести серьезный ущерб бизнесу. SQL-инъекция может привести к следующим последствиям:
Раскрытие конфиденциальных данных. Атакующие могут заполучить конфиденциальную информацию, хранящуюся на SQL-сервере.
Компрометация целостности данных. Злоумышленники могут отредактировать или удалить информацию в вашей системе.
Нарушение приватности пользователей. В зависимости от того, какие данные хранятся на SQL-сервере, атака может привести к раскрытию конфиденциальных пользовательских данных – адресов, номеров телефонов и сведений банковских карт.
Получение злоумышленниками административного доступа к вашей системе. Если у пользователя базы данных есть привилегии администратора, с помощью вредоносного кода атакующий может заполучить доступ к системе.
Получение злоумышленниками общих прав доступа к вашей системе. Если для проверки имен пользователей и паролей применяются слишком простые SQL-команды, атакующий сможет заполучить доступ к вашей системе, даже не имея действующих учетных данных пользователя. После этого злоумышленник сможет добраться до конфиденциальной информации и изменить ее, создав большие проблемы для вашего бизнеса.
Ущерб от SQLi-атак не только финансовый. Успешная атака может привести к репутационным потерям и утрате доверия клиентов, если произойдет кража персональной информации – имен, адресов, телефонных номеров и данных кредитных карт. Вернуть доверие клиентов гораздо сложнее, чем его потерять.
https:/t.me/whites1gma