SQL-Injection (SQLI) ist eine Art von Angriff auf Webanwendungen, bei dem ein Angreifer SQL-Code in die Eingabedaten einfügt, die vom Datenbankserver verarbeitet werden. Die Grundidee besteht darin, dass der Angreifer die Anfrage an die Datenbank modifiziert und somit unbefugten Zugriff auf Informationen erhält oder sogar Daten in der Datenbank ändern oder löschen kann. SQL-Injection sieht ungefähr so aus:

Der Angreifer gibt SQL-Code in ein Webformular oder einen URL-Parameter ein, der dann an den Server übermittelt wird.

Die Webanwendung verarbeitet die eingegebenen Daten nicht ordnungsgemäß und schließt sie in die SQL-Anfrage ein.

Der Angreifer führt SQL-Code auf dem Datenbankserver aus, was zu verschiedenen Konsequenzen führen kann. Entwickler müssen die Sicherheit der Anwendung gewährleisten, und Tester sollten alle möglichen (so weit wie möglich) Schwachstellen überprüfen. Regelmäßige Penetrationstests sind ebenfalls eine gute Praxis zur Erkennung und Verhinderung von Schwachstellen.