Τι είναι μια ένεση SQL

Μια ένεση SQL είναι μια κακόβουλη επίθεση στην ηλεκτρονική βάση δεδομένων , με την οποία ένας εισβολέας ένθετα , ή εγχύει , ένα ερώτημα SQL - επίσημο αίτημα προς τη βάση δεδομένων - σε μια σειρά που τελικά εκτελείται από τη βάση δεδομένων ; , μέσω των δεδομένων που μπαίνει σε ένα πρόγραμμα υπολογιστή . Αν είναι επιτυχής , μια ένεση SQL μπορεί να εξαγάγει τα ευαίσθητα δεδομένα από τη βάση δεδομένων , εισαγωγή, ενημέρωση ή διαγραφή δεδομένων ή ακόμη και να κλείσουν το σύστημα διαχείρισης βάσεων δεδομένων . Δυναμική ένεση SQL
Η

SQL εκμεταλλεύεται μια τεχνική προγραμματισμού είναι γνωστή ως " δυναμική SQL . " Το πλήρες κείμενο της δυναμική δήλωση SQL , ή την εντολή , είναι άγνωστο πότε ένα πρόγραμμα καταρτίζεται , αλλά κατασκευάζεται , δυναμικά , από την εισαγωγή δεδομένων από το χρήστη κατά την εκτέλεση του προγράμματος . Ένας εισβολέας τερματίζει την κατασκευασμένη εντολή πρόωρα και προσθέτει μια νέα εντολή , τερματίζεται με ένα σχόλιο σήμα , όπως " - " , έτσι ώστε κάθε μεταγενέστερη κείμενο αγνοείται κατά το χρόνο εκτέλεσης . Σε μια ελαφρώς πιο εξελιγμένη μορφή του SQL ένεση , ένας εισβολέας διοχετεύει κακόβουλου κώδικα σε δεδομένα που είναι αποθηκευμένα στη βάση δεδομένων ? Όταν τα αποθηκευμένα δεδομένα ανακτώνται και χρησιμοποιούνται για την κατασκευή μια δυναμική δήλωση SQL εκτελείται, ο κακόβουλος κώδικας
<. br >
Επιδράσεις
Η

Ακριβώς ό, τι οι επιτιθέμενοι μπορούν να επιτύχουν με ένεση SQL εξαρτώνται από τη φαντασία και τις δεξιότητές τους , αλλά τυπικά συνέπειες της εισαγωγής SQL είναι η απώλεια της εμπιστευτικά , η απώλεια της ακεραιότητας των δεδομένων και των προβλημάτων που σχετίζονται με την ο έλεγχος ταυτότητας , ή της άδειας , των χρηστών της βάσης δεδομένων . Αν οι πληροφορίες άδειας που πραγματοποιήθηκε στην ίδια βάση δεδομένων , μια ένεση SQL μπορεί να εξαγάγει τις πληροφορίες , ή να το τροποποιήσει , έτσι ώστε οι μη εξουσιοδοτημένοι χρήστες μπορούν να συνδεθούν με τη βάση δεδομένων .

Η επηρεαζόμενα πλατφόρμες

SQL ένεση ισχύει προφανώς το SQL , η πιο κοινή βάση δεδομένων γλώσσα ερωτημάτων , αλλά και κάθε πλατφόρμας που απαιτεί την αλληλεπίδραση με μια βάση δεδομένων SQL μπορεί να επηρεαστεί . SQL ένεση τρωτά είναι εύκολο να ανιχνευθούν και εύκολο να εκμεταλλευτούν , πράγμα που σημαίνει ότι η ένεση SQL έχει γίνει ένα κοινό θέμα με τα πακέτα λογισμικού βάσεων δεδομένων και τη βάση δεδομένων με γνώμονα ιστοσελίδες .
Εικόνων Επικύρωση
Η

Αν μια επίθεση εγχέει κακόβουλο κώδικα SQL που εκτελεί χωρίς σφάλματα, δεν υπάρχει κανένας τρόπος να ανιχνευθεί SQL ένεση μέσα από ένα πρόγραμμα υπολογιστή . Προγραμματιστές της βάσης δεδομένων πρέπει να επανεξετάσει όλο τον κώδικα του προγράμματος που κατασκευάζει δυναμικές δηλώσεις SQL και επικυρώνει όλα τα είσοδο του χρήστη , χωρίς να προβεί σε υποθέσεις σχετικά με το μέγεθος, το περιεχόμενο ή τον τύπο των δεδομένων . Ένας εισβολέας μπορεί να ενσωματώσει σκόπιμα μια " DROP TABLE " δήλωση , ή κάποιο άλλο , εξίσου κακόβουλο δήλωση σε ένα πεδίο κειμένου , έτσι ώστε οι προγραμματιστές πρέπει να εξασφαλίζουν ότι τα προγράμματα συμπεριφέρονται σωστά σε τέτοιες περιπτώσεις .

Η