SQLinjektioiden

SQLinjektio, lyhennettynä SQLi, on yleinen verkkohyökkäystekniikka, jossa hyökkääjä syöttää haitallisia SQL-lauseita sovelluksen syöttökenttiin. Nämä syötetyt lauseet voidaan sitten suorittaa sovelluksen tietokannassa, mikä voi johtaa luvattomaan pääsyyn, tietojen muokkaamiseen tai poistamiseen. Hyökkääjä voi käyttää SQL-injektioita esimerkiksi kirjautumistietojen kiertämiseen, arkaluonteisten tietojen, kuten luottokorttinumeroiden tai henkilökohtaisten tietojen, varastamiseen tai koko tietokannan tyhjentämiseen.

Yleisimpiä SQL-injektiohyökkäyksiä ovat virheperusteiset injektiot, jotka luottavat tietokannan virheilmoituksiin paljastaakseen tietoja, ja union-pohjaiset injektiot, jotka käyttävät SQL UNION -operaatiota yhdistääkseen tuloksia eri tauluista. Myös sokkoinjektioita käytetään, joissa hyökkääjä ei saa suoraa vastausta, mutta pystyy päättelemään tietoja sovelluksen käyttäytymisen perusteella.

SQL-injektioiden ehkäisemiseksi on tärkeää, että sovellukset käyttävät valmisteltuja lauseita (prepared statements) ja parametrisoituja kyselyitä, jotka erottavat SQL-koodin käyttäjän syötteestä. Myös syötteiden validointi ja puhdistus (sanitization) ovat keskeisiä keinoja. Tietokantojen oikeudet tulisi rajoittaa minimiin, ja sovelluskehittäjien tulisi olla tietoisia yleisimmistä haavoittuvuuksista ja parhaista käytännöistä tietoturvan varmistamiseksi.