SQL Injection (SQLi)
SQL Injection (SQLi) to luka, w której dane od użytkownika trafiają do zapytania SQL bez twardego oddzielenia kodu od wartości. Baza traktuje fragment wejścia jak część polecenia. Skutek bywa: ominięcie logowania, odczyt tabel, zmiana albo kasowanie rekordów, czasem eskalacja poza samą aplikację.
Na blackweb.pl SQLi to kategoria vulnerability w warstwie danych, nie trik z forów. Pojawia się w incydentach e-commerce, panelach CMS i starym kodzie sklejanym ze stringów. Polski przykład kontekstu: Alior Raty i PrestaShop.
Mechanizm (bez przepisu)
Aplikacja buduje zapytanie przez sklejanie tekstu: „weź login z formularza i włóż go w SQL”. Jeśli zamiast nazwy użytkownika wpadnie składnia SQL, parser bazy wykonuje więcej, niż autor strony zakładał. Prepared statements i parametryzacja oddzielają wartości od struktury zapytania. Tam, gdzie ich nie ma, historia SQLi się powtarza od dekad.
Warianty bywają blind (odpowiedź nie pokazuje danych wprost, tylko tak/nie albo timing), error-based, union-based. Nazwy służą raportom i bug bounty. Dla ofiary biznesowej różnica jest drugorzędna wobec pytania: czy wyciekła tabela z hasłami i danymi klientów.
Stawka
Wyciek bazy to nie tylko emaile. To hash haseł pod credential stuffing, dane kartowe albo PII pod fraud i szantaż, konfiguracja pod dalszy ruch w infrastrukturze. SQLi bywa też mostem do RCE, gdy baza i OS są źle posklejane. Wtedy wchodzimy w język exploit i łańcuchów, nie „jednego pola login”.
Hasła w bazie po wycieku łączą się z jakością hashingu i solą. Słaby skrót albo brak soli zamienia SQLi w hurtową kompromitację kont poza jednym serwisem.
Obrona (opisowo)
Parametryzowane zapytania, ORM używany poprawnie, minimalne uprawnienia konta bazy, brak surowego SQL ze stringów w miejscach publicznych, WAF jako siatka dodatkowa (nie zamiennik poprawnego kodu), monitoring anomalii. Aktualizacje CMS i wtyczek: wiele SQLi w dziczy to nie „genialny 0-day”, tylko znany patch, którego nikt nie wgrał.
Dla czytelnika spoza IT: nie da się „włączyć anty-SQLi” w przeglądarce. Da się ocenić, czy serwis, któremu powierzasz dane, w ogóle wygląda na utrzymywany. To słaby sygnał, ale lepszy niż wiara w magię.
W threat intel SQLi wraca falami przy popularnych CMS i wtyczkach płatności. Skrypty skanują Internet pod znane ścieżki. Nie szukają oryginalności. Szukają parkingu, który nie wgrał poprawki. Stąd związek z cyklem patch jest mocniejszy niż z mitologią „genialnego hakera w kapturze”.
Czego tu nie ma
Nie ma checklisty payloadów ani instrukcji omijania logowania na cudzych systemach. Jest mechanizm i konsekwencje, bo bez tego news o „wstrzyknięciu SQL” zostaje pustym hasłem.