SQL-injektioner: Attacker på sidans hjärta

Tobias Schüring Uppdaterad den 15 jan 2020
6 Min.
SQL-injektioner

Förutom Brute Force Attacker dyka om och om igen WordPress SQL-injektioner på listan över de största hoten mot WordPress Sidor. Det är relativt enkla manipuleringssnadowns på databasen på dina sidor. Detta gör det möjligt för hackare att komma åt känsliga data eller ställa in admin-konton själva och kan manipulera din webbplats efter behag. Vi visar hur attacken fungerar och varför den är så farlig.

Mars 2008: Hacker (inklusive, förresten, en sann Mastermind) få tag 134 miljoner kreditkortsuppgifter betalningssystem för hjärtat. Mitten av 2016: Misstänkta ryska hackare skaffar sig Tillgång till databasen för registrerade väljare Illinois State Board of Elections. Något liknande händer i ArizonaFebruari 2017: Den amerikanska vapensäljaren Airsoft GI är Data stulna från 65 000 användarkontonMars 2017: Misstänkta kinesiska hackare får tillgång till personuppgifter om 4 000 kunder i en koreansk app och skickar ibland obscena textmeddelanden till offren.

Alla dessa attacker har en sak gemensamt: bakom detta är en relativt lätt hacka kallas SQL injektion. Denna attack ger hackare tillgång till databasen och därmed till alla användardata för en sida. I själva verket, SQL injektioner anses vara en av de största hoten mot webbplatsoperatörer. Även och särskilt för webbansvariga, som huvudsakligen är WordPress Arbete.

Och eftersom åtminstone sedan WooCommerce särskilt större och mer komplexa butiker utan problem med WordPress kan drivas är det viktigt att förstå att risknivån för WordPress SQL-injektion och hur dessa Arbete.

Hur "farliga" är WordPress SQL Injektioner?

Frågan om "farlighet" av en WordPress hackar kan inte besvaras i form av en enda indikator. Tvärtom måste man ta hänsyn till minst två aspekter: å ena sidan den sannolikhet med vilken ens egna WordPress - WordPress projekt kan falla offer för en sådan attack, liksom den skada som en hacka kan orsaka.

Brute Force Attacker till exempel är antalet attacker som utförs varje månad (ibland över 1 miljard uppmätta attacker + orapporterade siffror) så högt att man faktiskt kan säga att varje WordPress - WordPress projekt förr eller senare måltavla för en sådan attack. Den skada som kan göras av en framgångsrik hacka är mångfaldiga. Mestadels tjäna Brute Force Attacker också för att kapa webbplatser och integrera dem i ett botnät. Skript över flera webbplatser Å andra sidan är det mycket mindre vanligt, men det används främst för att skapa webbplatser med Infektera skadlig kod.

Det öppna säkerhetsprojektet för webbprogram (OWASP), en ideell organisation, publicerar regelbundet en topp 10-lista över de största säkerhetsriskerna för webbapplikationer. Och SQL injektioner upptar konsekvent första plats här, även på (om än provisoriska) Lista för 2017.

En bild av de 10 säkerhetsrisker för webbapplikationer som regelbundet släpps av den ideella organisationen OWASP kan ses. SQL injektioner rankas först.
Den ideella organisationen OWASP publicerar regelbundet en topp 10-lista över de största säkerhetsriskerna för webbapplikationer. SQL injektioner upptar regelbundet topplaceringen här.

I själva verket, SQL injektioner har kommit att stanna. Hacka är känd i över 15 år. Och enligt Akamai State of the Internet Security Report för 2017 frekvensen av SQL-attacker har ökat med 28 procent sedan första kvartalet 2016. Under första kvartalet 2017 var SQL-injektioner de vanligaste hacka, med 44 procent av attackerna. 

Här är en illustration som SQL injektion är den vanligaste hacka, med 44% av attackerna under första kvartalet 2017.
Under första kvartalet 2017 var SQL-injektion den vanligaste hacka, med 44% av attackerna, enligt Akamai State of the Internet Security Report 2017.

Wordfence , Tillverkare av ett säkerhetsprogram för WordPress slutsatsen att SQL-injektioner är särskilt utformade för WordPress användare utgör en stor fara. A Analys av nästan 1 600 säkerhetsproblem i Pluginsrapporterats under en 14-månadersperiod visar tydligt att SQL-injektioner är den näst vanligaste säkerhetsrisken någonsin för WordPress sidor är.

Diagrammet visar tydligt att SQL Injections är den näst vanligaste säkerhetsrisken någonsin för WordPress sidor är.
Diagrammet visar att SQL Injections är den näst vanligaste säkerhetsrisken någonsin för WordPress sidor är.

Med alla dessa siffror, naturligtvis, måste du inse att det mörka antalet är mycket högre - ofta SQL-attacker är nifly märkt och sedan inte visas i någon statistik.

Siffrorna visar att WordPress SQL-injektioner av Brute Force Attacker Och XSS-mellanrum bland de vanligaste typerna av angrepp alls. Dessutom riktar SQL-injektioner mot ett särskilt känsligt område på sidan: databasen. Speciellt för butiksoperatörer, dessa hacka är därför ett existentiellt hot. Därför är det viktigt att förstå hur de fungerar och vad du kan göra åt dem.

WordPress SQL-injektioner rikta in hjärtat på din sida: Databasen

För att förstå hur SQL-injektion fungerar måste du förstå hur WordPress är i grunden strukturerad. Om du redan vet detta kan du Hoppa över det här avsnittet tryggt.

Databasen är grunden för varje WordPress -Installation: Allt innehåll lagras här. CMS själv gör det sedan möjligt att visa och redigera detta innehåll. På WordPress är en MySQL-databas. SQL står för Structured Query Language, ett fullfjädrat programmeringsspråk som kan användas för att skapa strukturer i en databas och infoga, ändra och ta bort data.

Varje gång du skriver en artikel, skapar en ny kategori, ändrar ditt lösenord eller till och med när användarna skriver en kommentar lagras dessa nya data i databasen. Så här ligger varenda innehåll på din webbplats.

WordPress hämtar alltid lämpliga data från databasen när en användare visar din sida och begär visst innehåll, sammanfogar den med PHP och skapar ett HTML-dokument som så småningom överförs till användarens webbläsare. Användaren får ingen information om alla händelser som äger rum fram till dess.

SQL Injections injicera extern kod i databasen

Även om du aldrig använder databasen direkt, men bara med WordPress -Backend agierst: Databasen är hjärtat på din webbplats.

Men som sagt, användare kan också ange data i databasen. Skriv en kommentar, skapa ett användarkonto, fyll i och skicka ett kontaktformulär – alla dessa åtgärder genererar data som lagras i databasen.

Men vad händer om någon använder denna indirekta tillgång till din databas för att smuggla skadlig kod till databasen? Sen pratar vi om sql injektion.

Tanken bakom detta isnoteven särskilt komplicerat: om det inte finns några säkerhetsåtgärder, hackaren behöver bara ange SQL-kod i ett formulärfält (till exempel när du skriver en kommentar). Den innehåller till exempel tecken som har en särskild funktion för SQL-tolken, som ansvarar för att köra SQL-kommandon i databasen. Sådana specialtecken, så kallade metatecken, är till exempel; " och ... och ... . . . . . . . . .

CMS anser att detta är ofarliga data och skickar indata som vanligt till databasen med för att spara den. SQL-tolken känner igen koden av metateckenen som ett jobb och kör databaskommandot.

Förresten, SQL injektioner gäller precis som de gjorde Brute Force -Attacker: Nästan aldrig en hacker sitter ensam på datorn och manuellt skriver koder i formulär. Dessa attacker går också genom automatiserade botnät, som samtidigt skanna tusentals webbplatser för sårbarheter och strejk där de upptäcker en.

Vad kan hända nu?

  • Hackaren kringgår alla autentiseringsmekanismer eller döljer sig bakom en befintlig användares identitet för att få åtkomst. Om en hackare till exempel skapar ett nytt administratörskonto kallas det även för Priviledge Eskalering Utnyttja.
  • På detta sätt kan det spionera, ändra eller ta bort data. Detta är särskilt viktigt om du kör en online-butik och har dina kunders betalningsuppgifter.
  • Det kan ta kontroll över hela din webbplats och webbutrymme, till exempel genom att logga in som administratör och därmed få tillgång till din backend. Så en hackare har full kontroll över din webbplats och kan använda den som en spam slangbella, ta skadlig kod eller infoga den i ett botnät.

Slutsats: Just på grund av automatisering, WordPress SQL Injektioner mycket farliga

WordPress SQL injektioner är bland de farligaste hacka någonsin. De är lätta att utföra, mestadels automatiserade, och kan orsaka stora skador: särskilt för butiksoperatörer är faran från SQL-injektioner existentiell.

Därför är det viktigt att skydda din webbplats i enlighet med detta: användarens indata måste kontrolleras och rengöras. Du bör också maskera data för att förhindra att skadlig kod körs. Den här processen kallas datasanering och validering och används till exempel i WordPress Codex behandlas i detalj. I en av följande artiklar kommer vi dock att gå in mer i detalj om ämnet och visa dig hur du förhindrar att skadlig kod blir aktiv i databasen.

Omfattande säkerhet Plugins Nästa: I synnerhet, de kan blockera automatiserade attacker på dina webbplatser, som är grunden för många hacka.

Som systemadministratör övervakar Tobias vår infrastruktur och hittar varje justeringsskruv för att optimera prestandan hos våra servrar. På grund av sina outtröttliga ansträngningar är han ofta också Slack som ska hittas.

Liknande artiklar

Kommentarer om den här artikeln

Skriv en kommentar

Din e-postadress kommer inte att publiceras. Obligatoriska fält är * Markerade.