Was bringt dem Angreifer die Spionage im Handy?

Es gibt kein lukrativeres Opfer als modere Smartphone-Besitzer: Mindestens zwei Kameras auf die zugegriffen werden können, GPS und/oder NFC-Module, Fotos, Videos, Mikrofon, Kontaktbücher, Notizen und allerlei Dokumente in der Cloud. Kommt Ihnen das bekannt vor?

Ziel von Angreifern sind in der Regel immer genau diese sensible Daten und vor allem ist das oberste Ziel in irgendeiner Form Geld damit zu generieren, sei es auch durch Erpressung (https://deftipps.com/securityecke/wird-handy-abgehoert.html ). Dazu zählen zum Beispiel Ihre Eingaben im Browser (Online-Banking, Anmeldedaten von sozialen Medien und ähnliches) aber auch Tonaufnahmen oder Videoaufzeichnungen.

Weniger gefährliche Apps möchten Ihr Verhalten protokollieren, wie Sie Ihr Handy benutze, welche Webseiten Sie wie lange besuchen oder welche Suchbegriffe Sie eingeben. Auch Standortdaten oder das Adressbuch sind ein beliebtes Diebesgut welches verkauft werden kann.

Eher selten handelt es sich um Lauschangriffe von Behörden, gerade in Deutschland sind die Hürden für eine Überwachung recht hoch und sollte solch ein “Angriff” an die Öffentlichkeit gelangen, wäre dies sicher nicht sehr angenehm für die ausgehende Behörde.

Anzeichen, dass Sie ausspioniert werden

Viele Handydienste haben mittlerweile Sicherungsmaßnahmen eingeleitet, um eine Spionage auszuschließen oder zumindest aufzudecken. Bei Google (Android) und Apple (iOS) erhalten Sie beispielsweise regelmäßig Benachrichtigungen an Ihre E-Mail-Adresse, sollten Daten geteilt werden.

Sollten Sie auf einem Android-Gerät durch eine App oder aus Versehen Ihren Standort teilen, werden Sie ungefähr monatlich von Google per E-Mail über die Freigabe informiert. Sie können in den Benachrichtigungseinstellungen die Sensibilität dieser Nachrichten definieren. Der Mythos das Sie immer ausspioniert werden, wenn es beim Telefonieren “kratzt”, ist schon sehr lange begraben. Es existiert auch nicht den einen Hinweis, der eine Spionage enttarnt, vielmehr zählen einzelne Eindrücke und Fakten, die ein Gesamtbild ergeben.

Hier sind einige Hinweise, bei denen Sie hellhörig werden sollten:

• Ihr Handy ist plötzlich viel langsamer als sonst. Spionagesoftware benötigt einen Teil der Leistung Ihres Handys und nutzt beispielsweise auch Arbeitsspeicher, der Ihnen dann nicht mehr zur Verfügung steht.
• Der Akku hält nicht mehr wie gewohnt. Natürlich kann es auch altersbedingt sein, aber eine Software, die Sie im Hintergrund immer ausspäht, verbraucht Strom. Hier können Sie im Gerät die Energieoption zurate ziehen, welche App wie viel Akkuleistung verbraucht.
• Das Gerät wird plötzlich warm oder heiß. Vielleicht sogar, wenn Sie es überhaupt nicht benutzen.
• Vielleicht ist Ihre Handyrechnung besonders hoch. Dies kann unter anderem an Angreifern liegen, die über Ihre Handyrechnung bezahlen oder Ihr Datenvolumen ausgereizt haben.
• Weiteres untypisches Verhalten: Sollte Ihr Handy plötzlich viel länger benötigen, um auszuschalten oder anzuschalten. Gibt es Fehlermeldungen, wenn Sie die Kamera starten möchten? Oder verbrauchen Sie plötzlich viel mehr Datenvolumen als gewöhnlich?

Anhand dieser kleinen Puzzleteile werden Sie recht schnell merken, ob etwas anders ist als üblich.

Achten Sie auf App-Berechtigungen

Ganz typisch sind falsch gesetzte App-Berechtigungen. Sie sollten also immer hinterfragen, ob eine App wirklich die angeforderten Berechtigungen benötigt. Beispielsweise ist es eher fraglich, ob eine App mit der Sie zeichnen, auch auf Ihren Standort zugreifen muss.

Weiterhin sollten Sie niemals Apps außerhalb des entsprechenden Play Stores oder App Store herunterladen und installieren, die einzige Ausnahme sind hier Firmeninterne Apps oder solche, die Sie selbst entwickelt haben und testen möchten.

Schalten Sie aus, was Sie nicht benötigen

Viele Handynutzer lassen gerne alles aktiviert – viel zu umständlich erscheint der Weg, NFC immer wieder aktivieren und deaktivieren zu müssen, wenn es (nicht) benötigt wird. Gewöhnen Sie sich an Module, Dienste und Apps zu beenden, wenn Sie sie nicht nutzen. Ein besonderes Augenmerk sollten Sie auf folgende Einstellungen haben:

• Bluetooth
• NFC
• Mobile Daten
• WLAN
• Infrarot (wenn vorhanden)

In Ihren Systemeinstellungen können Sie nicht-verwendete Hintergrundprozesse beenden. Unbekannte Apps sollten Sie regelmäßig löschen.

Nutzen Sie Anti-Viren-Software

Es existieren immer auch Anti-Viren-Apps für Ihr Handy, nutzen Sie diese in jedem Fall. Für eine grundlegende Sicherheit sind kostenfreie Varianten vollkommen in Ordnung, sofern Sie sie aus dem offiziellen App-Store heruntergeladen und installiert haben. In der Regel haben auch die Gerätehersteller spezielle Software, die Sie und Ihre Daten schützen.

Vermeiden Sie freie WLAN-Netze

Wenn Sie öffentliche Hotspots und WLAN-Verbindungen verwenden möchten, ist da zunächst kein Problem zu erkennen. Wichtig ist hierbei allerdings, dass Sie auf gar keinen Fall sensible Aktionen durchführen, wenn Sie sich in einem solchen öffentlichen Netzwerk befinden. Also kein Online-Banking, keine E-Mails abrufen, Passwörter eingeben oder Online-Shoppen.

Der Grund ist ganz simpel: Zu Hause sind Sie in Ihrem Netzwerk geschützt. Fremde müssen Sie um Ihr Netzwerk-Passwort bitten und Sie haben auch die Möglichkeit, einen Gast-Zugang einzurichten. Wohingegen Sie bei öffentlichen Netzwerken zwar eine Verschlüsslung der Daten haben, aber die wichtige Zugangssperre existiert nicht, also kann sich jeder beliebig mit einwählen.

Sie vermuten Spionagesoftware – das ist zu tun

Wenn Sie unter dem Strich zur Überzeugung gelangen, dass Sie ausspioniert werden, können Sie im einfachsten Fall Ihr Handy über die Einstellungen auf den Werkszustand zurücksetzen. Ihr Handy ist dann genau so, wie an dem Tag des Kaufes. Achten Sie allerdings darauf, keine Backups einzuspielen und wenn, dann nur solche, bei denen Sie sich sicher sind, keine Schadsoftware zu installieren.

Sollten auf Ihrem Handy sehr sensible Daten gespeichert sein oder ein ungutes Gefühl nach der Zurücksetzung des Handys zurückbleiben, können Sie sich auch an ein Unternehmen wenden, dass auf Mobile-Sicherheit spezialisiert ist. Sogenannte forensische IT-Experten haben Möglichkeiten und Software, an die normale Handynutzer niemals gelangen könnten. Selbstverständlich wird dieser Schritt vermutlich etwas teurer.

Ähnliche Artikel:

1. Mein neues Handy HTC Desire HD
2. Großes Handy Gewinnspiel
3. Handy Gewinnspiel

Mehr Funktionen als andere Free Virenprogramme

Obwohl avast! Free Antivirus gegenüber den kostenpflichtigen Versionen einige Einschränkungen hat, verfügt die gratis Version immer noch über mehr Funktionen also viele andere kostenlose Antivirenprogramme. Es gehört also zu den umfangreichsten Programmen dieser Art. Beispielsweise lässt sich verdächtige Software einfach in einer speziellen, sogenannten Sandbox, starten. Dadurch kann das Programm dann keinen Schaden anrichten. Sollte es sich doch um ein harmloses Programm handeln, kann es dann von der Sandbox aus, freigegeben werden. Dann kann es auch normal am PC genutzt werden. Zudem werden bei diesem Antivirenprogramm, anders als bei anderen kostenfreien Versionen, die Programme auch auf außergewöhnliche Verhaltensmuster untersucht. Dadurch kann auch vor unbekannten Viren gewarnt werden und das ist wirklich einmalig, bei einem Freeware-Antivirenprogramm.

Nicht ganz einfach in der Handhabung

Zugegeben, trotz so viel Lob, gibt es auch einige Nachteile dieses avast! Free-Programmes. Meist nutzen ja die User eine kostenfreie Version, die nur einen einfachen Virenschutz suchen. So kann dieses Programm einigen schlichtweg zu überladen in den Funktionen sein. Den der große Umfang hat natürlich auch zur Folge, dass die Bedienung und Handhabung des freien Virenprogramms etwas komplizierter ist. Einen Virenscanner Test finden sie auf dieser Webseite.

Zudem drängt sich das Programm ein wenig den Vordergrund. Heißt, wenn man gerade am PC beschäftigt ist, kann es schon ein wenig stören, denn ständig wird angezeigt, wie weit der Stand des Virenscans gerade ist oder was das Antivirenprogramm eben gerade macht. Diese kleinen Nachteile unterliegen aber den Vorteilen des avast! Free.Programms. Wer sich also für dieses Antivirenprogramm entscheidet, kann eigentlich nichts falsch machen. Die kostenlose Version findet man im Internet zum Download. Das Herunterladen des Programms geht quasi wie von selbst, der Nutzer muss kein Fachmann dafür sein. Auch für dieses Free-Antivirenprogramm bietet der Hersteller immer wieder Updates, zur Aktualisierung, um auch neue Viren und Schadware zu erkennen.

Keine ähnlichen Artikel vorhanden.

Sicherheitstechnik der neuesten Generation

Alarmanlagen sind eine der besten Möglichkeiten sich vor Einbrüchen zu schützen. Verlassen Sie Ihr Haus, dann können Sie eine moderne, kaum sichtbare Anlage scharf schalten, so dass bei ungewöhnlichen Bewegungen oder Geräuschen ein extrem lautes Signal ertönt. Viele neuere Anlagen lassen sich zudem fernsteuern, so dass Sie unterwegs über eventuelle Vorkommnisse informiert werden und auch außerhalb Ihres Hauses die aktuellen Einstellungen ändern können. In einigen Fällen lassen sich Alarmanlagen sogar mit einem Meldesystem zur Polizei verbinden.

Einbrüche sind allerdings nicht die einzige Gefahr, vor der moderne Sicherheitstechnik schützen kann. Rauchmelder beispielsweise sollten möglichst in allen Räumen angebracht werden, um das Schlimmste zu verhindern.

Für die Zukunft vorsorgen

Effektive Sicherheitssysteme sind eine gute Möglichkeit die eigene Immobilie vor unterschiedlichen Risiken zu schützen und für die Zukunft vorzusorgen. Wer sich umfassend informiert und ein wenig recherchiert, kann sich ein persönliches Sicherheitssystem zusammenstellen, das genau zu seinen Wünschen und Vorstellungen passt. Gerade Bauherren, die sich den Wunsch von den eigenen vier Wänden nach Maß erfüllen möchten, sollten am besten schon bei der Bauplanung entsprechende Sicherheitsfaktoren einbeziehen. In manchen Fällen ist ein gutes Sicherheitssystem notwendig, um die Auflagen der Versicherung zu erfüllen. Um ausreichend geschützt zu sein, sollten sich Hausbesitzer daher genau über die Anforderungen und Möglichkeiten informieren.

So fühlen Sie sich sicher

Wer unsicher ist, welche Sicherheitstechnik für ihn die Richtige ist, sollte sich am besten professionell beraten lassen. Schließlich ist die Sicherheit in den eigenen vier Wänden unheimlich wichtig für das eigene Wohlbefinden. Effektive Sicherheitssysteme sind eine sinnvolle Investition, die sich langfristig auszahlt.

Ähnliche Artikel:

1. Benutzerdaten schützen mit SSL-Zertifikaten
2. Neue Generation der Toplevel-Domains

Funktionsweise von SSL-Zertifikaten

Mittels SSL-Zertifikaten werden die Daten bei Transaktionen verschlüsselt. Vor dem Senden der Daten werden die Daten verschlüsselt und erst nach Empfang wieder entschlüsselt. Dies schließt aus, das während der Transaktion Dritte in den Datentausch einsehen können. Zusätzlich wird überprüft, ob die Daten vollständig und völlig unverändert den gewünschten Empfänger erreicht haben. Damit entsteht eine Vertrauensbasis zwischen Kunde und dem Unternehmen. Ein SSL-Zertifikat besteht aus zwei Schlüsseln. Zum einen den öffentlichen und zum anderen den geheimen Schlüssel. Dabei dient der öffentliche Schlüssel zur Verschlüsselung der Informationen. Der geheime Schlüssel dient der Entschlüsselung nach Datentransfer. Durch diesen Vorgang werden die beiden Schlüssel authentifiziert. Erst wenn diese Authentifizierung abgeschlossen ist entsteht eine sichere Sitzung. Bei dieser sind der Datenschutz sowie der Schutz der Transaktion gewährleistet. Das SSL-Zertifikat muss sich als eine Art Ausweis vorgestellt werden. Deshalb funktioniert eine Authentifizierung nur zwischen bestimmten Servern und Domains. Hier fordert der Browser eine Authentifizierung ein. Wenn Daten nicht übereinstimmen oder das  Zertifikat bereits abgelaufen ist, dann wird eine Fehlermeldung angezeigt. SSL-Zertifikate müssen nicht teurer sein, die Kosten werden durch die Anzahl der Domains bestimmt und deren Verschlüsselung. SSL-Zertifikate werden somit in verschiedenen Verschlüsselungsgraden angeboten. Es ist so gut wie unmöglich, dass SSL-Leitungen Eingriffe von außen erleiden, da der technische Einsatz zu hoch ist.

Keine ähnlichen Artikel vorhanden.

Daten rechtzeitig sichern

Mittlerweile nutzen viele Nutzer das WordPress-System. Lange Zeit gab es hier keinen vernünftigen Anbieter im Backup-Bereich, da immer wieder Schwächen auftauchten. Mit blogVault tauchte ein Anbieter auf, der sämtliche WordPress-Seiten vor Eingriffen von außen schützt und die Daten langfristig sichert. Dabei werden die Daten auf zwei Servern weltweit gesichert. Das Angebot umfasst die Komplettsicherung von jeder Datei sowie Themes und Plugins. Das System sichert den WordPress-Aufritt alle 24 Stunden. Somit kann der Kunde jederzeit eine automatische Wiederherstellung starten. Aber auch einzelne Dateien können wiederhergestellt werden um diese beispielsweise für eine andere Domain zu nutzen. Der Anbieter bietet dem Kunden dabei verschiedene Möglichkeiten. Bereits nach der Registration und der Eingabe der WordPress-Domain startet bereits ein WordPress Backup. Der Kunde kann das Angebot nun sieben Tage lang kostenfrei testen (bis zum 30.11. 2-Monate kostenlos testen). Nach Ablauf der unverbindlichen Testphase hat der Nutzer die Möglichkeit aus drei verschiedenen Angeboten zu wählen. Dabei richtet sich das Angebot vom Hobbynutzer für 9 Euro im Monat bis zum WordPress-Profi für 39 Euro im Monat. Hierbei ist für die Kunden auch eine Supportfunktion eingerichtet.

Ähnliche Artikel:

1. Nächstes Update: WordPress 3.2.1 ist da
2. Gravierende WordPress-Sicherheitslücke
3. WordPress 3.1.1 ist da

Wer aktuelle Systeme nutzt und den Viren-Scanner stets auf dem neuesten Stand hält, der braucht sich um Fremdangriffe keine Sorgen zu machen – so die weit verbreitete Meinung vieler Internetnutzer.

Damit haben sie zwar nicht Unrecht, die Rechnung aber ohne die stetige Weiterentwicklung der Angreifer gemacht. Viren, Trojaner und Spyware werden immer cleverer und resistenter gegenüber Schutzprogrammen. Und Hacker lassen sich immer wieder neue Ideen einfallen, um sich in fremde Systeme einzuschmuggeln. Ziel ist es, eine Plattform für illegale Fremdangriffe zu erlangen, von der aus unerwünschter Spam verschickt werden kann, oder Angriffe auf weitere Fremdsysteme gestartet werden können. Aber auch Datenklau und das Ausspionieren wichtiger und persönlicher Informationen können als Absicht hinter solchen Fremdangriffen stecken.

Systemangriffe entwickeln sich scheinbar mehr und mehr zum Volkssport. Wie kann man sich da noch seiner Systemsicherheit sicher sein?

Penetrations-Test heißt die Lösung, die Fachleute hierfür gern einsetzen. Bei dieser Methode wird ein Hackerangriff simuliert und möglichst authentisch nachgestellt. So können potentielle Sicherheitslücken aufgedeckt werden. Sind diese Schwachstellen ermittelt, suchen die Experten nach Lösungsansätzen und setzen diese am System um.

So kann sich der System-Anwender seiner Sicherheit dann wirklich sicher sein.

Autor:

Kerstin Glage, PR-Leitung der adresspark UG, dem Spezialisten für Software aus dem Bereich Adresshandel und Adressmanagement, hat vor Ihrer Anstellung über acht Jahre für diverse Redaktionen als Redakteurin gearbeitet und kümmert sich seit 2011 um die mediale Präsenz des Softwareentwicklers. Seit 2007 beschäftigt sich die adresspark UG mit der Entwicklung qualifizierter Profi-Software und hat sich mit ihrer Leadhandelssoftware LeadPark bereits einen Namen in der Branche gemacht. Aber auch Programmierungen nach Kundenwunsch und Serviceleistungen Rund um den IT-Bereich, wie beispielsweise der Security Check, sind fester Bestandteil des Produktportfolios. Alle Infos unter www.adresspark.de.

Ähnliche Artikel:

1. Sicherheit bei der Email-Kommunikation

Natürlich lauern auch andere Gefahren in einer E-Mail. Wer eine E-Mail abfängt, der kann ebenso einfach die Anhänge bearbeiten und schädliche Viren und Trojaner einbauen. Der Empfänger geht nun davon aus, von einem Freund ein lustiges Bild zu erhalten, verseucht in Wahrheit aber seinen Computer mit Spam- und Bot-Attacken. Doch damit nicht genug: Viele Viren schielen darauf ab, die Eingaben der Opfer unerkannt zu beobachten und aufzuzeichnen. Wer sich nun in sein Online-Bankkonto einloggt und an nichts Böses denken mag, dem könnte schon Tage später der komplette, finanzielle Ruin drohen. Vorsicht ist deshalb mit Verlaub angeraten.

Auch Phishing-Mails erfüllen einen ähnlichen Sinn. Der Absender verfolgt damit das Ziel, vom Mail-Empfänger sensible Daten herauszufinden. So kann er sich beispielsweise als Betreiber einer Sportwetten-Plattform ausgeben und damit an das ertragreiche Sportwetten-Konto eines Kunden kommen. Accountdaten und Passwörter sollten generell nicht weitergereicht werden, schon gar nicht über den elektronischen Weg der E-Mail. Leider fallen immer mehr Internetnutzer auf diese kriminellen Betrügereien rein und müssen sich später mit oft jahrelangen Gerichtsprozessen und einer aufwendigen und meist aussichtslosen Zurückverfolgung der E-Mails auseinandersetzen. Vertrauen ist im Internet oft fehl am Platz. Dies gilt insbesondere, wenn man E-Mails via Smartphone versenden möchte.

Experten geben außerdem den Ratschlag, alle Passwörter bei Internetseiten sofort zu ändern, sollten diese per E-Mail zugesandt werden. Ansonsten macht man den unbefugten Zugriff nicht nur denjenigen leicht, die die E-Mails abfangen, sondern womöglich auch jedem, der den PC oder das Smartphone in die Hand bekommt.

Ähnliche Artikel:

1. kostenlose .edu Email-Adresse

Neben spannenden Vorträgen auf Deutsch und auf Englisch wie zum Beispiel über den Staatstrojaner (Aufnahmen kann man sich runterladen) werden nebenbei alle möglichen Webseiten angegriffen. Fast schon traditionell sind dies nationalistische Seiten wie aktuell der Shop nationales-versandhaus.de, aber es hat auch schon erste andere Opfer wie das Statistikamt Nord (SQL Injection) oder die Uni Freiburg (XSS) gegeben. Als Ziele sind momentan DHL (speichern Passwörter im Klartext), die FH Heidelberg und Mentana Claimsoft (als “sicherer” DE-Mail Provider) ausgeschrieben. Und ist erst das Ergebnis von einem Tag…

Eine genaue Übersicht gibt es unter http://events.ccc.de/congress/2011/wiki/Hacked

Weiter Informationen zu dem Kongress:

• Hauptseite: http://events.ccc.de/congress/2011/wiki/Welcome
• Vorträge: http://events.ccc.de/congress/2011/Fahrplan

Keine ähnlichen Artikel vorhanden.

Vielseitig einsetzbar und sicher zu verschließen

In der Versandtasche sind die Unterlagen geschützt und werden in einem einwandfreien Zustand an den Adressaten geliefert. Dabei gibt es die verschiedensten Formate von DIN B4 bis zu DIN C4, sodass man jede Art von Dokument praktisch und formatgenau versenden kann. Die Versandtaschen sind funktionell auf die Bedürfnisse des Absenders ausgerichtet. Die Auswahl reicht von selbstklebenden bis zu haftklebenden Varianten, die mit und ohne Sichtfenster für einen geschützten Transport der Unterlagen sorgen. Dabei ist das Format der Versandtasche portooptimiert, stabil und reißfest, sodass man sich sicher sein kann, dass die Sendung ohne Risse, Beschädigungen oder Knicke ankommt. Das ist eine wichtige Produkteigenschaft der Versandtasche, die zu einen optimalen Eindruck bei Adressaten beiträgt. Es kommt immer auch auf die Form an. Es ist garantiert, dass die Versandtasche nicht aufreißt und somit eventuell wichtige Unterlagen verloren gehen. Weiter kommt die Sendung ohne Knicke an, was gerade bei wichtigen Unterlagen Voraussetzung ist, denn ordentliche und funktionell versendete Dokumente sprechen für sich. Geknickte Luftpolstertaschen sind hier ideal, denn sie schützen den Inhalt auf perfekte Weise.

Optimale Passform für jedes Format

Die Versandtasche mit Seitenfalten ist für mehrere Unterlagen ausgerichtet und sorgt dafür, dass der Inhalt nicht gedrückt ankommt. Bei weniger Inhalt bietet die Versandtasche ohne Seitenfalten einen sicheren Schutz der Unterlagen während dem Postweg.
Versandtaschen zeichnen sich durch Reißfestigkeit und Stabilität des Materials aus, das auf den Transport von wichtigen Unterlagen ausgerichtet ist. Versandtaschen garantieren auch im 21. Jahrhundert, dass Dokumente, Unterlagen und Daten sicher und professionell verpackt an den Zielort gelangen.

Ähnliche Artikel:

1. Gratis SMS versenden auf SMSElite.de

Wie der Name es bereits sagt, versuchen Angreifer bei einer SQL-Injektion, fremden (= ihren eigenen) SQL-Code einzuschleusen. Die Auswirkungen davon können verheerend sein: Ein Beispiel dafür ist der direkte Log-In als Administrator, ohne das korrekte Passwort zu kennen:

<h1> Administrationsbereich </h1>
<form action="" method="POST">
    Nutzer: <input type="text" name="user" /> <br />
    Pass: <input type="password" name="pass" /> <br />
    <input type="submit" name="login" value=“login“ />
</form>
<?php

if (isset ($_POST['login']) )
{
    $res    =   mysql_query ("SELECT * FROM admins WHERE

        nutzer='".$_POST['user']."' AND

        pass='".md5($_POST['pass']).“'“);
    $rows   =   mysql_num_rows ($res);
    if ($rows == 1)
    {
        echo "Erfolgreich eingeloggt!";
    }
}

?>

(Man beachte die Nutzung von MD5-gehashten Passwörtern, dies ist ein weiterer strenger Sicherheitstipp; niemals Passwörter im Klartext in der Datenbank speichern! Am besten auch zusätzlich noch salten oder mehrere Algorithmen hintereinanderschalten.)

Nehmen wir an, ein valides Administrationskonto besteht aus dem Nutzernamen „admin“ und dem Passwort „login“. Der Angreifer, der eine SQL-Injektion ausführen möchte, kennt zwar den Nutzernamen (dieser wird überall öffentlich genannt), nicht aber das geheime Passwort. Da er allerdings eine Query-Formulierung wie die obige vermutet, in denen die POST-Parameter ungefiltert und ungeprüft übergeben werden, wählt er als Benutzernamen nicht „admin“, sondern „admin’#“ (admin / Raute / einfacher Anführungsstrich). Ein Passwort gibt er gar nicht ein.

Der Query, der abgeschickt werden würde, sähe demzufolge so aus:

SELECT * FROM admins WHERE nutzer='admin'#'
AND pass='d41d8cd98f00b204e9800998ecf8427e'

Wichtig hierbei: Das Raute-Zeichen zählt innerhalb eines SQL-Kommandos als Kommentar – der hintere Teil des Querys würde also wegfallen, hier blau markiert:

SELECT * FROM admins WHERE nutzer='admin'#'
 AND pass='d41d8cd98f00b204e9800998ecf8427e'

Es handelt sich also um einen validen Query, der nach einem Eintrag sucht, in dem der Nutzername „admin“ entspricht – nach dem Passwort wird gar nicht mehr gefragt. Dies funktioniert jedoch nur, weil der Angreifer den zu überprüfenden String mit einem ‘ abbricht und mit einem Kommentarzeichen sowohl SQL-Fehler als auch die weitere Überprüfung umgeht.

Solche Zeichen, die in SQL eine spezifische Bedeutung haben und Querys manipulieren können, müssen also entsprechend umgewandelt bzw. gefiltert werden. Dafür steht in PHP die Funktion „mysql_real_escape_string“ zur Verfügung, die immer ausgeführt werden sollte, wenn ein String in einem Query eingebunden wird.

Für obiges Beispiel resultiert so:

<h1> Administrationsbereich </h1>
<form action="" method="POST">
    Nutzer: <input type="text" name="user" /> <br />
    Pass: <input type="password" name="pass" /> <br />
    <input type="submit" name="login" value=“login“ />
</form>
<?php

if (isset ($_POST['login']) )
{
    $res = mysql_query ("SELECT * FROM admins WHERE
        nutzer='".mysql_real_escape_string($_POST['user'])."'AND
        pass='".md5($_POST['pass']).“'“);
    $rows   =   mysql_num_rows ($res);
    if ($rows == 1)
    {
        echo "Erfolgreich eingeloggt!";
    }
}

?>

(Bei Übergabe des Passwortes ist dies nicht notwendig, da der String bereits als MD5-gehashed wird und somit keine Sonderzeichen aufweisen kann!)

Dieses Beispiel ist allerdings nur eine mögliche Version eines Angriffes mit einer SQL-Injection. Diese sind sehr vielseitig und so sind auch das Auslesen von Daten aus der Datenbank, hochladen von Dateien auf den Server (INTO OUTFILE) oder der Absturz des Datenbankservers (BENCHMARK) als Angriffsszenarien möglich.

Fazit: Never trust user input!

Ähnliche Artikel:

1. Cross-Site Scripting