SQL enjeksiyon saldırıları

[DEKO]

Yapılandırılmış Sorgu Dili (SQL) enjeksiyonu, kullanıcılarına hizmet vermek için veritabanlarına bağımlı olan web sitelerinden yararlanmanın yaygın bir yöntemidir. İstemciler, sunuculardan bilgi alan bilgisayarlardır ve bir SQL saldırısı, istemciden sunucudaki bir veritabanına gönderilen bir SQL sorgusu kullanır. Komut, normalde oraya giden başka bir şeyin (örneğin parola veya oturum açma bilgisi) yerine bir veri düzlemine eklenir veya "enjekte edilir". Veritabanını barındıran sunucu daha sonra komutu çalıştırır ve sisteme sızılır.

SQL enjeksiyonu başarılı olursa, hassas verilerin sızdırılması veya önemli verilerin değiştirilmesi veya silinmesi de dahil olmak üzere birçok şey olabilir. Ayrıca, saldırgan veritabanının işlevini kesintiye uğratabilecek kapatma komutu gibi yönetici işlemlerini de gerçekleştirebilir.

SQL enjeksiyon saldırılarından korunmak için en az ayrıcalıklı modelden yararlanın. En az ayrıcalıklı mimaride, yalnızca önemli veritabanlarına erişmesi kesinlikle gereken kişilerin erişimine izin verilir. Bir kullanıcının kuruluş içinde gücü veya etkisi olsa bile, işi buna bağlı değilse ağın belirli alanlarına erişmesine izin verilmeyebilir.

Örneğin, CEO'nun ağın içeriğine erişme hakkı olsa bile, bu alanlara erişimi engellenebilir. En az ayrıcalık ilkesini uygulamak, yalnızca kötü niyetli kişilerin hassas alanlara erişmesini engellemekle kalmaz, aynı zamanda iyi niyetli olup da yanlışlıkla giriş bilgilerini saldırganlara karşı savunmasız bırakan veya bilgisayarlarından uzaktayken iş istasyonlarını açık bırakan kişilerin de erişimini engelleyebilir.