capec - 110: SQL注入通过SOAP参数篡改 |
 描述
攻击者修改参数的SOAP消息从服务使用者与服务提供者发送启动SQL注入攻击。在服务提供者方面,解析SOAP消息和参数不正确验证之前被用于访问数据库的方式不使用参数绑定,从而使攻击者控制的结构执行的SQL查询。此模式描述了一个SQL注入攻击与SOAP消息的传递机制。
攻击的可能性
典型的严重性
的关系
 此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
66年 |
SQL注入 |
| 光束 |
 详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 |
279年 |
SOAP操作 |
| CanPrecede |
详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 |
108年 |
通过SQL注入命令行执行 |
此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
执行流程
探索
检测错误的SOAP参数处理:攻击者篡改SOAP消息参数和寻找迹象表明篡改目标应用程序的行为的改变引起的。
| 技术 |
| 攻击者篡改SOAP消息参数通过注入一些特殊字符,如单引号,双引号,半列,等等。攻击者所观察到的系统行为。 |
实验
探测SQL注入漏洞:攻击者注入SQL语法到脆弱的SOAP参数识别在探索阶段搜索过滤查询执行的SQL语法。
利用
注入SQL通过SOAP参数:攻击者通过SOAP注入SQL参数确定为脆弱的在探索阶段推出第一或第二SQL注入攻击。
| 技术 |
| 攻击者通过常用的方式执行SQL注入攻击利用SOAP参数作为注入向量。攻击者必须小心不要打破服务提供者的XML解析器可以防止负载到SQL查询。攻击者也可以看看web服务的WSDL(如果可用)更好地理解什么是预期的服务提供者。 |
先决条件
| SOAP消息是系统中用作通信机制 |
| SOAP参数不正确验证服务提供者 |
| 服务提供者不恰当地利用参数绑定在构建SQL查询 |
技能要求
|
(级别:中等) 如果攻击者能够获得很好的理解系统的数据库模式 |
|
(级别:高) 如果攻击者执行SQL盲注 |
所需资源
后果
这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
完整性 |
修改数据 |
|
|
可用性 |
不可靠的执行 |
|
|
保密 |
读取数据 |
|
|
保密
访问控制
授权 |
获得特权 |
|
|
保密
完整性
可用性 |
执行未经授权的命令 |
|
缓解措施
| 适当的验证和清洁/拒绝用户输入的服务提供者。 |
| 确保准备好的语句或其他机制,使参数绑定时使用访问数据库的方式,防止攻击者提供的数据控制执行查询的结构。 |
| 在数据库级,确保应用程序所使用的数据库用户在特定上下文中所需的最小权限数据库所需要执行的操作。在可能的情况下,运行查询预生成的视图,而不是直接的表。 |
例子,实例
| 攻击者使用一个旅行预订系统,利用SOAP客户端之间的通信和旅游预订服务。攻击者开始篡改即将离任的SOAP消息通过修改他们的参数包括字符将打破一个动态构造的SQL查询。他们注意到,这些恶意输入时系统没有反应注射在某些参数传输SOAP消息。攻击者工艺品的SQL查询,修改他们的付款额旅游系统的数据库并将其传递的参数。后台批量支付系统后从数据库获取付款金额(修改后的付款额)和发送给信用卡处理器,使攻击者能够以更低的价格购买机票。攻击者需要一些知识系统的数据库,或者利用另一个弱点,导致信息披露。 |
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-08-04
(版本2.11) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Resources_Required |
| 2020-07-30
(版本3.3) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Example_Instances Related_Attack_Patterns |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2021-06-24
(版本3.5) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns Skills_Required |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
