SQL injekcijaSQL Injection

Opis

Posledice zavise od toga koliko je aplikacija loše zaštićena. Nekad napadač samo pročita podatke koje ne bi smeo da vidi. Nekad zaobiđe prijavu, promeni sadržaj baze ili obriše zapise. A ako nalog kojim aplikacija pristupa bazi ima previše prava, jedan maliciozan unos može da postane veliki incident.

SQL injekcija je stara, dobro poznata boljka, ali još uvek živa. Ne opstaje zato što je misteriozna, nego zato što se isti propusti ponavljaju: ručno sklapanje upita, slab test, preširoka prava naloga baze i aplikacije koje greške prikazuju korisniku. Parametrizovani upiti nisu elegantan detalj, nego osnovna higijena.

Primeri

• Polje za pretragu vraća podatke koje korisnik ne bi smeo da vidi, jer aplikacija direktno ugrađuje unos u SQL upit.
• Napadač menja logiku prijave tako da aplikacija prihvati nalog bez prepoznavanja lozinke.
• Slepa SQL injekcija izvlači podatke iz baze polako, karakter po karakter, kroz razlike u odgovorima aplikacije.

Napomene

• SQL injekcija se ne rešava filtriranjem nekoliko opasnih znakova, nego parametrizovanim upitima i pravilnim radom sa bazom.
• Ako nalog kojim aplikacija pristupa bazi ima preširoka prava, posledice injekcije postaju mnogo veće nego što bi trebalo i morale da budu.