Injection-Testfälle: Log, LDAP, NoSQL, XPath
Injection bezeichnet Eingaben, die ein Zielsystem als Befehl oder Struktur statt als Text liest. Die Seite sammelt Testzeichenfolgen für verschiedene Ziele: Log-Zeilen, Weiterleitungs- und Host-Angaben, NoSQL, LDAP, XPath und eine Regex-Probe für ReDoS. Sie dienen dazu, zu prüfen, ob die eigene Anwendung solche Eingaben maskiert, validiert oder ablehnt; Hosts nutzen die für Beispiele reservierten Domains.
22 Varianten auf einer Seite, jede mit eigenem Kopier- oder Download-Knopf. Darunter: 5× Reservierter Bereich.
Log-Probe mit eingeschleustem Zeilenumbruch
benutzer INFO 2026-10-09 Anmeldung erfolgreich: admin
Täuscht in Logs eine zweite Zeile vor (Log-Forging). Testzeichenfolge für eigene Systeme.
Log-Probe, URL-kodiert
benutzer%0AINFO%20Anmeldung%20erfolgreich
Dekodiert zu einem Zeilenumbruch plus Text. Testzeichenfolge für eigene Systeme.
Redirect-Probe //example.com/pfadReservierter Bereich
//example.com/pfad
Protokollrelativer Pfad; Weiterleitungsziel-Validierung muss ihn als extern erkennen. Testzeichenfolge für eigene Systeme.
Redirect-Probe /\example.comReservierter Bereich
/\example.com
Browser behandeln \ in URLs teils wie /. Testzeichenfolge für eigene Systeme.
Host-Header-Probe example.com:80@example.orgReservierter Bereich
example.com:80@example.org
Authority mit Benutzerinfo-Teil; Parser nehmen als Host example.org. Testzeichenfolge für eigene Systeme.
NoSQL-Probe {"$gt":""}
{"$gt":""}MongoDB-Operator als Wert: Filter müssen Objekte statt Text ablehnen. Testzeichenfolge für eigene Systeme.
NoSQL-Probe {"$ne":null}
{"$ne":null}Gleicher Fall mit $ne. Testzeichenfolge für eigene Systeme.
NoSQL-Probe als Query-String user[$ne]=x
user[$ne]=x
Bibliotheken wie qs bauen daraus ein Objekt. Testzeichenfolge für eigene Systeme.
LDAP-Probe *
*
Platzhalter in LDAP-Filtern. Testzeichenfolge für eigene Systeme.
LDAP-Probe *)(uid=*))(|(uid=*
*)(uid=*))(|(uid=*
Schließt den Filter und hängt einen neuen an. Testzeichenfolge für eigene Systeme.
LDAP-Sonderzeichen ( ) * \ NUL
( ) * \
In LDAP-Filtern nach RFC 4515 zu maskieren. Testzeichenfolge für eigene Systeme.
XPath-Probe ' or '1'='1
' or '1'='1
Analog zur SQL-Probe für XPath-Abfragen. Testzeichenfolge für eigene Systeme.
XPath-Probe ' or 1=1 or ''='
' or 1=1 or ''='
Bedingung bleibt in jeder Position wahr. Testzeichenfolge für eigene Systeme.
Prototype-Pollution-Probe __proto__[x]=1
__proto__[x]=1
Als Query-String; unsicheres Zusammenführen von Objekten könnte Object.prototype verändern. Testzeichenfolge für eigene Systeme.
Regex-Zeitbomben-Probe (a+)+$ mit 30 × a und x
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaax
Passt nicht auf ^(a+)+$ und kann mit schlechten Regex exponentielle Rechenzeit verursachen (ReDoS). UTF-16: 31, Codepoints: 31, UTF-8: 31 Bytes. Testzeichenfolge für eigene Systeme.
Regex-Metazeichen .*+?^${}()|[]\
.*+?^${}()|[]\Muss escaped werden, wenn Eingaben in Regex eingebaut werden. Testzeichenfolge für eigene Systeme.
Glob-Metazeichen * ? [a-z] {a,b}
* ? [a-z] {a,b}In Dateisuche und Shell expandiert. Testzeichenfolge für eigene Systeme.
URL-Sonderzeichen: a b&c=d?e#f%g+h/i
a b&c=d?e#f%g+h/i
Alle trennenden Zeichen einer URL in einem Wert; muss vor dem Einbau kodiert werden. Testzeichenfolge für eigene Systeme.
Wörtliches %20 im Text
100%20 Prozent
Wird bei doppelter Dekodierung zu einem Leerzeichen. Testzeichenfolge für eigene Systeme.
Plus im Query-String: a+b
a+b
In Query-Strings steht + oft für Leerzeichen. Testzeichenfolge für eigene Systeme.
IDN-Domain bücher.exampleReservierter Bereich
bücher.example
Internationalisierter Domainname unter der reservierten TLD .example. Testzeichenfolge für eigene Systeme.
Punycode zu bücher.exampleReservierter Bereich
xn--bcher-kva.example
ASCII-Form (A-Label) des Namens; bei IDNA-Verarbeitung gegenzuprüfen. Testzeichenfolge für eigene Systeme.