Hi
um es etwas anders zu sagen - die SQL-Injection selber ist für den Server im Gesamten nicht so schlimm. Mehr Daten auslesen/ändern, als man sollte. (Dass jemand die Daten dann hat kann je nach Daten natürlich sehr schlimm sein, aber für die Menschen, nicht für den Server).
Dann gibts aber meistens auch Programme, die Daten aus der DB verwenden - und da beginnt das Serverproblem dann. Angefangen mit ganz legitimen Aktionen, wie zB. über die DB den Hash von Passwörtern vergleichen - mit Schreibzugriff auf die DB hier könnte man sich leicht Adminrechte für das Forum verschaffen. Und mit Zugriff auf die AccountDB einer Bankseite, aber ohne Zugriff auf das besser gesicherte Zahlungsflusssystem, kann man sich mit dem eigenenen gesetzten Passwort auf der echten Bankseite einloggen und sich dort Geld vom Opfer zukommen lassen. Ganz ohne "heimlichen" Zugriff auf Kontostand usw. ... Weitere Beispiele mit Logininfos in DBs sind zB. Mailserver, oder auch SSH selber (wo man dann schon den gesamten Server steuern kann)
Falls das nicht genug Zugriff bietet, gibts noch immer genug Programme, die sich auf DB-Daten zu sehr verlassen (selbst reingeschrieben, also können sich manche Programmierer im Traum nciht vorstellen, dass die DB beim Auslesen was anderes wieder zurückliefert. ). Dass man zB. statt irgendeinem menschenlesbaren Text in der DB PHP-Code reinschreibt und der dann von anderen Programmen am Server
ausgeführt wird, kommt schon mal vor...
Drittens gibts natürlich dann noch die unbewussten Fehler (egal ob in der PHP-Software oder in PHP oder der DB selber), die bei bestimmten Inhalten plötzlich andere Sachen auslösen als sie sollten.Klassisches Beispiel: Ein String ist länger als erwartet (auch wenn das für einen PHP-Programmierer eher nicht nach vollziehbar ist - PHP und DB haben viel C drin, und da eine fehlende Prüfung ein Problem)
...
Nächster Punkt, wer SQL-Injections im Code hat hat oft mehr Probleme. Oft auch welche außerhalb vom PHP-Code, zB. falsche EInstellungen der DB: Keine getrennten Zugriffspasswörter für verschiedene unabhängige Datenbanken wäre ein Spitzenkandidat. Und schön hat man mit einer Injection Zugriff auf alle DBs. ...
da die Anwendung die darauf läuft ziemlich veraltet ist.
Updaten?
Deiner Aussage zu folge, kann der Angreifer dann ggf. auch auf den ganzen Server zugegriffen haben und Schadsoftware nicht nur auf dem virtualisierten Teil wo auch die Injection lief aufgespielt haben, sondern eben auf dem kompletten Server - ist das richtig?
Prinzipiell ja. Auch wenn deine Softwareversion, die DB-Version, DB-EInstellungen usw. alle passen, gibt es noch immer die Möglichkeit, dass jemand bisher nicht (öffentlich) bekannte Bugs ausnutzt.
Was sollte man tun, wenn man bereits eine Injection vermutet?
Außer dem, was schon gesagt wurde:
a) Genaue Codestelle und Input usw. herausfinden versuchen, und das dem hersteller der Software melden
b) Wenns um Daten von Benutzern/Kunden/... usw. geht, die informieren. Ja, das kann wehtun. Nicht informieren aber noch viel mehr, wenn sie dadurch irgendeinen anderen Schaden haben und später draufkommen.
Sonstiges, nur nebenbei: FTP hat rein technisch mit SFTP kaum was zu tun. Und es gibt noch FTPS, nicht verwechseln.
Und zu dem Video...
a) Habs nicht schauen können
b) Bratkartoffel, warum kannst du noch
... Bitte, alle schnell Flash deinstallieren. Nicht nur eines der verbugtesten Programme aller Zeiten, sondern inzwischen von Adobe auch ganz offiziell aufgegeben.
c) Danke für den Hinweis, dass da Flasheinbindungen sind ... Vimeo-Videos gibts selten, wusste das nicht.
