Indholdsfortegnelse:
Definition - Hvad betyder SQL Injection Attack?
Et SQL-injektionsangreb er et forsøg på at udstede SQL-kommandoer til en database via en webstedsgrænseflade. Dette er for at få gemt databaseinformation, herunder brugernavne og adgangskoder.
Denne kodeindsprøjtningsteknik udnytter sikkerhedssårbarheder i en applikations databaselag. Hackere udnytter dårligt kodede websteder og webapps for at injicere SQL-kommandoer, for eksempel ved at drage fordel af en loginformular for at få adgang til de data, der er gemt i databasen.
Kort sagt forekommer SQL-injektionsangreb, fordi brugerinput-felterne tillader, at SQL-sætningerne passerer og direkte forespørger databasen.
Techopedia forklarer SQL Injection Attack
Moderne websteder inkluderer login sider, søgesider, support og produktanmodningsformularer, indkøbsvogne, feedbackformularer og så videre.
Disse webstedsfunktioner er alle sårbare over for SQL-injektionsangreb på grund af tilgængeligheden af brugerinput-felter. En angriber kan nemt udføre vilkårlige SQL-udsagn, hvis disse websteder er tilbøjelige til SQL-injektion. Dette kan kompromittere databasernes integritet og kan udsætte følsomme data.
Baseret på den anvendte back-end-database kan SQL-injektionssårbarheder resultere i forskellige niveauer af injektionsangreb. Angribere kan manipulere eksisterende forespørgsler, bruge undervalg eller tilføje yderligere forespørgsler. I nogle tilfælde er det muligvis endda muligt at læse ind eller skrive ud til filer. Angriberne kan også udføre shell-kommandoer på root-operativsystemet (OS).
Nogle SQL-servere som Microsoft SQL Server indeholder lagrede og udvidede procedurer. Hvis en SQL-injektionsangreb opnår adgang til disse procedurer, kan det føre til meget uønskede resultater. Forkert kodede websteder og webapps er altid tilbøjelige til denne form for angreb.
Den ideelle måde at undgå injektionsangreb er ved at opdage sårbarheder på websteder og webapps, før de går live. Der er automatiserede SQL-injektionsscannere, der hjælper penetrationstestere med at verificere sårbarheden af websteder og webapps for potentielle SQL-injektionsangreb.
Dette hjælper webadministratoren til straks at rette den sårbare kode og beskytte webstederne mod potentielle SQL-injektionsangreb.
