SQL Injection คือ

เอาบทความน่าสนใจมาฝากครับ สำหรับโลกทุกวันนี้ที่ทุกอย่างอยู่บน Computer Network ดังนั้น ปัญหาเรื่องการขโมย หรือ การถูกโจมตี ให้เกิดความเสียหาย จึงเกิดขึ้นมากมาย วันนี้ ผมเอาหัวข้อที่เกิดขึ้นบ่อยที่สุดมา เล่าให้ฟังครับ นั้นคือ การโจมตีแบบ SQL Injection บทความ Reference

SQL Injection คือ การโจมตีที่ระบบฐานข้อมูลของ Web โดยผลคือ ระบบฐานข้อมูลจะถูกขโมยออกไป หรือ อาจจะถูกลบ หรือ แก้ไขให้เกิดความเสียหายได้ ช่องโหว่ ของ SQL เป็นรูปแบบที่มีมานาน และถูกใช้เป็นจุดอ่อนที่ถูกโจมตีมากที่สุด ซึ่งจุดอ่อนนี้สามารถเกิดขึ้นได้กับ ระบบฐานข้อมูล เช่น Oracle , Microsoft , My SQL หรืออื่น ๆ

ลักษณะการโจมตีโดยใช้ SQL Injection จะมีรูปแบบดังนี้

ผู้โจมตีจะต้องค้นหารูปแบบ Input ของผู้ใช้ที่มีช่องโหว่ภายใน Web Application ก่อน หลังจากนั้นผู้โจมตี จะส่ง Input ที่มีรูปแบบที่ถูกต้องตรงเข้าไปที่ Database โดยไม่ต้องผ่านหน้า Web application ปกติซึ่งถ้าทำได้ ผู้โจมตีจะสามารถส่ง คำสั่ง SQL ที่เป็นอันตรายจะถูกดำเนินการในฐานข้อมูล

• ผู้โจมตีสามารถ ปลอมตัวเป็น Admin หรือ User คนอื่นได้
• ผู้โจมตีจะเข้าถึงข้อมูลทั้งหมดได้อย่างสมบูรณ์
• สามารถปรับเปลี่ยนตัวเลขทางบัญชีทั้งหมดในระบบ

จะเห็นว่าปัญหาเรื่อง ช่องโหว่ SQL Injection มีผลกระทบร้ายแรงมาก ซึ่งช่องโหว่นี้สามารถตรวจสอบและป้องกันได้ครับ