Quelltext der Seite SQL-injection

SQL-Injection ist eine Technik, die den Syntax eines SQL-Queries unterbricht und gezielt SQL Befehle in eine Webapplikation einschleust.

== Vorgehen ==
Um SQL einzuschleusen muss ein interface vorhanden sein (Formular, URL, Cookie etc.). Ein einfacher Test um zu prüfen ob SQL-injection abgefangen wird ist ein ' als Übergabe mitzugeben. Dies unterbricht in der Regel den Syntax der vorhandenen Query.

=== Beispiel ===
Wir nehmen an, dass folgende SQL Abfrage für eine Suche in einer Applikation zuständig ist:

<code mysql>
SELECT * FROM items WHERE Name = 'Suchanfrage';
</code>

Der Text "Suchanfrage" wurde über ein Suchfeld in einem Formular eingegeben.
Ein Benutzer könnte deshalb auch den Text folgendermassen gestalten: "Suchanfrage' OR '1' = '1",  und somit den Syntax unterbrechen:

<code mysql>
SELECT * FROM items WHERE Name = 'Suchanfrage' OR '1' = '1';
</code>

Die oben stehende Abfrage würde alle Datensätze in der Tabelle items ausgeben.


== Gegenmassnahmen ==
=== Escapen ===
In vielen Tutorials wird in zusammenhang mit PHP der Befehl mysql_real_escape() erwähnt um SQL Steuerzeichen zu escapen.

Die mysql_ Library ist jedoch veraltet und man sollte bei einem neuen Projekt darauf verzichten. 
Besser wäre etwas wie [http://php.net/manual/en/book.pdo.php PDO] oder [http://php.net/manual/en/book.mysqli.php Mysqli] zu verwenden.

Ein Beispiel wie man ein String korrekt escapen würde:

<code php>
$EscapedString = mysqli_real_escape_string($UnfilteredText);
</code>

=== Prepared Statements ===
Richtig angewendet tritt SQL-injection bei Prepared Statements nicht auf.

[[Category:Hacking und Sicherheit]]