Code Injection
Code Injection liegt vor, wenn ein Angreifer ausführbaren Code in ein Programm einschleust und ihn über eval/exec oder Ähnliches ausführt, womit beliebige Codeausführung erreicht wird.
Zweck
Die durch dynamische Ausführung von Nutzereingaben verursachte Code-Injektion und ihre Abwehr verstehen; eine häufige Schwachstelle interpretierter Sprachen.
Mechanismus
Das Programm führt eine nutzerkontrollierbare Zeichenkette per eval(input) oder Ähnlichem aus, und der Angreifer schleust Anweisungen ein. Abwehr: eval vermeiden, parametrisierte APIs, Eingabevalidierung, Sandboxing.
Anwendungsfälle
- PHP/Python-Sicherheitsaudit
- Abwehr von eval-Schwachstellen
- Risiken dynamischer Ausführung