SQL injection

Fejlen blev beskrevet offentligt i Phrack nr. 54 i december 1998 af Jeff Forristal (under navnet rain.forest.puppy) og er katalogiseret som CWE-89. Den opstår, når en forespørgsel sættes sammen ved strengsammenkædning, som i "SELECT * FROM users WHERE name = '" + input + "'". Input som ' OR '1'='1 lukker strengen og ændrer WHERE-betingelsen; en afsluttende kommentar (-- eller #) smider resten af den oprindelige sætning væk. Samme mekanisme gælder ORDER BY-led, LIKE-mønstre, stored procedures, der bygger dynamisk SQL med EXEC, og ORM'ers metoder til "rå" forespørgsler.

Udnyttelsesteknikkerne grupperes efter, hvordan data kommer tilbage. In-band-angreb læser resultaterne direkte, enten via UNION SELECT, der føjer kolonner valgt af angriberen til det legitime resultatsæt, når antal og typer af kolonner passer, eller via fejlbaseret udtræk, hvor detaljerede databasefejl lækker værdier. Blinde angreb udleder data én bit ad gangen: booleske varianter sammenligner sidens svar ved sande og falske betingelser, og tidsbaserede varianter bruger funktioner som SLEEP() eller pg_sleep() til at skabe målbare forsinkelser. Out-of-band-teknikker får databasen til at sende data via DNS eller HTTP. Second-order injection gemmer en uskyldigt udseende værdi, som senere sættes ind i en forespørgsel et andet sted, og derfor er validering alene ved indgangen ikke nok. Værktøjer som sqlmap automatiserer det hele.

Det primære forsvar er parameteriserede forespørgsler (prepared statements), hvor SQL-teksten og værdierne sendes hver for sig til databasedriveren, så input aldrig kan tolkes som syntaks. Parametre kan ikke bruges til identifikatorer som tabel- og kolonnenavne eller til nøgleord som ASC og DESC; de skal slås op i en allowlist. Stored procedures er kun sikre, hvis de ikke selv bygger dynamisk SQL. Escaping af brugerinput er en sidste udvej, fordi det afhænger af databasen og tegnsættet og gentagne gange er blevet omgået, fx via multibyte-encodings. Databasekonti med mindst mulige rettigheder, slået stacked queries fra, hvor driveren tillader det, og generiske fejlsider begrænser skaden.

Konsekvensen afhænger af databasen og dens rettigheder: ud over at læse og ændre data kan nogle platforme skrive filer eller køre kommandoer, fx via xp_cmdshell på Microsoft SQL Server. SQL injection er stadig aktuelt; i 2023 masseudnyttede Cl0p-gruppen CVE-2023-34362, en SQL injection i Progress MOVEit Transfer, til at stjæle data fra et stort antal organisationer. Det hører under OWASP Top 10's kategori Injection, A05 i 2025-udgaven.