SQL-Injection - Format C:\

[Gooner85]

Hallo zusammen,

in dem Wikipedia-Artikel über SQL-Injection ist ein Beispiel aufgeführt, dass zeigt, wie es möglich ist die Festplatte zu formatieren.

SELECT url, title FROM myindex WHERE keyword LIKE '%sql' ;GO EXEC cmdshell('format C') --%'

Quelle: Wikipedia - SQL-Injection

Würde das denn überhaupt funktionierten, wenn der entsprechende Webserver auf der C-Partition läuft, d.h. die C-Partition gerade ausgeführt wird?

[Christian Marquardt]

Probiere es doch einfach aus:
Öffne deine Konsole und gib das Kommando ein.....

Was hat die Frage mit Datenbanken zu tun?

[Gooner85]

Ich hab leider gerade keinen passenden Server, der sich dafür eigenen würde

Was hat die Frage mit Datenbanken zu tun?

Ich dachte mit fragen in Bezug auf SQL wäre ich hier richtig.

[Christian Marquardt]

Deine Frage beinhaltet doch kein SQL Problem. Du willst wissen, ob du die Platte formatieren kannst, wenn darauf ein Webserver läuft.

Was hat die Art und Weise WIE etwas auf deinen Rechner kommt damit zu tun, OB und WAS es dann auf deinem Rechner etwas tut?

Wenn du eine Kiste Socken bestellst und in der gelieferten Kiste dann Hosen drin sind, wendest du dich an den Zusteller?

Ich hab leider gerade keinen passenden Server, der sich dafür eigenen würde

Dann nimm dein aktuellen Rechner....

[Bernhard Geyer]

Würde das denn überhaupt funktionierten, wenn der entsprechende Webserver auf der C-Partition läuft, d.h. die C-Partition gerade ausgeführt wird?

Ersetze "format C" durch ein Kommando das eine von außen steuerbare Shell öffnet oder ander Befehle die den Server kompromittieren. "Format C:\" ist ein Beispiel das nur sehr einfach verdeutlicht das hier viel Schaden passieren kann. Kein aktuelles Windows kannst du das Bootlaufwerk unter dem hintern per Format wegziehen.

[Christian Marquardt]

Des Weiteren laufen die wenigsten Webserver unter Windows, so dass ein format C:/ nur wenig bringen würde.

Kein aktuelles Windows kannst du das Bootlaufwerk unter dem hintern per Format wegziehen.

Das hat er ja hoffentlich durch seinen Test bemerkt