SQL-инъекции — распространённый метод взлома веб-приложений и сайтов

SQL-инъекции — это один из очень распространённых способов взлома сайтов и веб-приложений, работающих с реляционными базами данных.

Этот способ основан на внедрении в выполняемый приложением запрос к базе данных произвольного SQL-кода, переданного злоумышленником. SQL-инъекции являются одной из разновидностей атак типа «инъекция кода».

SQL-инъекции, в зависимости от типа уязвимости, может дать возможность атакующему выполнить произвольный запрос к базе данных. То есть атакующий сможет прочитать содержимое любых таблиц, удалить, изменить или добавить данные, а также есть вероятность получения возможности работы с локальными файлами и выполнения произвольных команд на атакуемом сервере.

Последствия SQL-инъекций:

• Кража данных
• Модификация данных
• Удаление данных
• Полный взлом системы

Атаки типа внедрения SQL становятся возможными из-за некорректной обработки приложением входных данных. Разработчики сайтов и приложений, работающих с реляционными базами данных, должны знать о таких уязвимостях и принимать меры противодействия.

С точки зрения безопасности сайта или веб-приложения, наиболее правильной является фильтрация всех полученных данных (приложение в принципе не должно принимать в обработку те параметры, которые непонятно зачем были переданы) и продуманная обработка тех параметров, которые используются для построения запроса к базе данных.

Для предотвращения SQL-инъекций основными направлениями обработки входных данных должны являться:

• экранирование специальных символов в полученных строковых параметрах (универсальный способ)
• приведение полученных данных к ожидаемому приложением типу (отлично работает на булевом типе и на числах)
• нормализация и очистка полученных параметров регулярными выражениями (похоже на приведение к типу, но работает для более комплексных параметров)
• валидация полученных параметров по справочникам (часто перечень ожидаемых параметров известен и ограничен)
• усечение полученных параметров (длина инъекций, как правило, достаточно велика)
• использование параметризованных запросов (запрос передаётся отдельно от параметров, параметры в этом случае  экранируются автоматически)
• правильное использование клиентских библиотек и возможностей ORM (библиотеки для работы с СУБД и ORM обычно хорошо документируют правильное с точки зрения безопасности их использование) 
• фильтрация по ключевым словам и последующий бан атакующего (мера, позволяющая усложнить сканирование на уязвимости)