Ein paar dumme Fragen zu "XSS" und zur Sicherheit von Datenbanken

[Christoph Zurnieden]

Hi,

Zuerst einmal: es gibt einige Verfahren, die mit einfachen Mitteln einen Großteil der Gefahr abwehren können. Grundprinzip: laß niemanden an Deine Datenbank _direkt_ ran.

Nehmen wir mal an, dem Hacker gelänge es, meine Datenbank anzugreifen- was ist darunter eigentlich genau zu verstehen? Könnte er nur meine Gästebuch-Tabelle manipulieren oder die gesamte Datenbank? Und kann er darüber hinaus sogar auf dem Server Schaden anrichten?

Dreimal ja. Und noch schlimmeres. Das ist dann aber extrem unwahrscheinlicher Worst-Case, da muß schon viel zusammenkommen. Mehr oder weniger in dieser Reihenfolge:

1. Du hast Mist programmiert und jeder kann einfach Abfragen an Deine DB direkt schicken -> Datenleck
   1a) Die DB-Konfiguration ist Mist und erlaubt Schreibzugriffe von jedem -> Daten können geändert werden, allerdings nachvollziehbar, wenn geloggt wird.
2. Die DB hat eine Sicherheitslücke -> Daten koruppt
3. Diese Sicherheitslücke und/oder die Konfiguration des Servers erlaubt auch noch Privilege-Escalation -> System korrupt
4. Du hast _schweren_ Ärger mit jemandem.
5. Dieser Jemand hat keinerlei Skrupel, bricht auf Deinem Server ein, sorgt dafür das sich mit der Zeit Material ansammelt, das Dir schaden könnte (z.B. Kinderporno) und meldet's dem Staatsanwalt/dem Partner.
   5a) Du wirst vom Mob gelyncht.

Ich und eine blühende Phantasie? Wie kommt ihr denn darauf? ;-)

so short

Christoph Zurnieden