Dolmetscher-Injection-Angriffe

Question

Die OWASP Definition-Injection-Angriffe sagt, dass -

Injektionsfehler, wie SQL, OS und LDAP-Injektion auftreten, wenn nicht vertrauenswürdige Daten an einen Interpreter als Teil eines Befehls oder Abfrage gesendet wird . Die feindlichen Daten des Angreifers können den Interpreter dazu verleiten, unbeabsichtigte Befehle auszuführen oder auf Daten zuzugreifen, ohne die erforderliche Berechtigung zu haben.

Was bedeutet Interpreter in jedem Fall (LDAP, OS, SQL usw.)? Wird ein Interpreter für alle Arten von Injection-Angriffen wie XML, XPath, HTTP usw. benötigt?

Answer 1

Ja, die Art einer Code-Injection-Attacke besteht darin, dass der Angreifer die Anwendung dazu bringt, einige Code-Anweisungen auszuführen, die nicht Teil der beabsichtigten Funktionen dieser Anwendung sind.

Dies bedeutet, dass es einen Mechanismus geben muss, um den in der Payload des Angreifers enthaltenen bösartigen Code zu parsen und auszuführen, bevor der Besitzer der Anwendung ihn stoppen kann.

In der Theorie könnte eine Anwendung Code kompilieren und automatisch ausführen, aber es ist viel häufiger bei dieser Art von Angriff, bösartigen Code zu verwenden, der nicht kompiliert, sondern zur Laufzeit interpretiert wird.

Ihre anderen Beispiele, XML, XPath, HTTP, sind normalerweise nicht mit Codeinjektionen verbunden.

• XML ist kein Code, es ist ein Datenformat.
• HTTP ist kein Code, es ist ein Protokoll.
• XPath ist eine Art Code, aber eine sehr spezielle Art von Code. Es ist eine Ausdruckssprache, um Elemente in einem XML-Dokument zu identifizieren. Es ist begrenzt in was es tun kann, also ist es kein üblicher Vektor für Code-Injection-Attacken.