Nederlands
Menu

Basis van informatiebeveiliging

In een webapplicatie kan iemand zonder het wachtwoord te kennen inloggen door in het wachtwoordveld van het inlogscherm een tekenreeks zoals ' OR '1'='1 in te voeren. Hoe heet deze aanval?

  1. ASQL-injectie
  2. BCross-site scripting
  3. CDirectory traversal
Antwoord en toelichting tonen

Antwoord: A. SQL-injectie

SQL-injectie maakt misbruik van een webapplicatie die opdrachten voor de database (SQL-statements) opbouwt door de invoer van de gebruiker eenvoudig als tekenreeks aan te plakken. Wordt bijvoorbeeld ' OR '1'='1 ingevoegd op de plek waar de voorwaarde „het wachtwoord is gelijk aan 'invoer'” wordt opgebouwd, dan sluit het aanhalingsteken de tekenreeks af en wordt de altijd ware voorwaarde „of '1' is gelijk aan '1'” toegevoegd. Daardoor is aan de voorwaarde voldaan zonder het wachtwoord, en slaagt de inlog. Op dezelfde manier kunnen ook gegevens worden gestolen, gewijzigd of verwijderd. De fundamentele tegenmaatregel is een mechanisme dat invoer nooit als deel van de opdracht interpreteert: prepared statements met placeholders.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Basis van informatiebeveiliging

  1. Waarom worden prepared statements met placeholders (geparametriseerde query's) als tegenmaatregel tegen SQL-injectie als fundamenteler beschouwd dan het verwijderen van gevaarlijke tekens uit de invoer?
  2. Een webapplicatie voor een prikbord had een kwetsbaarheid waarbij scripts in teksten die gebruikers plaatsten, werden uitgevoerd in de browsers van andere bezoekers. Welke combinatie geeft de naam van deze kwetsbaarheid en de fundamentele tegenmaatregel juist weer?
  3. Een webapplicatie heeft een kwetsbaarheid waarbij, als een ingelogde gebruiker een door een aanvaller klaargezette valpagina opent, de browser van de gebruiker verzoeken naar de legitieme site stuurt die de gebruiker niet bedoelde, zoals geld overmaken of instellingen wijzigen. Welke tegenmaatregel is geschikt?
  4. Een webapplicatie leest en toont een bestand door een bestandsnaam uit een URL-parameter aan de naam van haar openbare map te koppelen. Als een waarde met ../ als bestandsnaam wordt opgegeven, kunnen configuratiebestanden en andere bestanden buiten de openbare map worden gelezen. Welke combinatie geeft de naam van deze aanval en een tegenmaatregel juist weer?
  5. Als een webapplicatie vóór en na het inloggen dezelfde sessie-ID blijft gebruiken, kan een aanvaller de gebruiker een vooraf door de aanvaller klaargemaakte sessie-ID laten gebruiken en zich na het inloggen van de gebruiker met die ID als de gebruiker voordoen. Wat is de meest geschikte tegenmaatregel tegen deze aanval?