29 апреля, 2026, 14:59
SQLi (SQL Injection, внедрение SQL-кода) — тип атаки, при котором злоумышленник вставляет (инжектит) произвольный SQL-код в запрос к базе данных через небезопасные параметры веб-форм, URL или заголовки. В зависимости от типа SQLi (классическая, биндовая, out-of-band, слепая) атакующий может читать, изменять или удалять данные, а иногда и выполнить команды на сервере (RCE через xp_cmdshell).
Основные возможности (атакующего):
- Обход аутентификации (
' OR 1=1 --) - Извлечение данных (union-based, error-based, boolean blinds)
- Модификация/удаление данных (INSERT, UPDATE, DELETE)
- Чтение файлов на сервере (LOAD_FILE в MySQL) и запись шеллов
- Выполнение системных команд (MSSQL, PostgreSQL)
- Вызов сетевых запросов (DNS exfiltration при слепых инъекциях)
SQLi остается в OWASP Top 10 годами. Основная защита: параметризованные запросы (prepared statements) и хранимые процедуры. WAF (например, ModSecurity с CRS) может блокировать типичные векторы union, sleep, benchmark. В SIEM анализируются аномально длинные параметры запроса, наличие SQL-ключевых слов в GET/POST.
Упоминания
-
23 апреля 2026
«Крайон» представил HWall — WAF-решение для защиты веб-приложений, API и IoT-шлюзов
Компания «Крайон» объявила о запуске решения HWall, которое помогает закрыть ключевые риски веб-безопасности без сложных внедрений. В решении объединены фаервол... -
9 февраля 2026
Пророссийские хакеры взломали украинскую сеть клиник MamaPapa
Медицинская карта общего доступа Пророссийские хакеры из группировок "Смешарики" и Perunswaroga взломали серверы украинской сети клиник MamaPapa и скопировали более...
