SELECT * FROM users WHERE username = 'kullanici_adi' AND password = 'sifre';

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = 'herhangi_bir_sifre';

• Hata Tabanlı (Error-based) SQL Enjeksiyonu: Saldırgan, veritabanının hata mesajlarını kasıtlı olarak tetikleyerek veritabanı yapısı veya içerikleri hakkında bilgi edinir. Örneğin, bir sorguya geçersiz bir ifade ekleyerek veritabanının hata mesajında tablo adı veya sütun adı gibi bilgiler vermesini sağlamaya çalışır.
• UNION Tabanlı SQL Enjeksiyonu: Saldırgan, `UNION SELECT` operatörünü kullanarak orijinal sorgunun sonuçlarına kendi sorgusunun sonuçlarını ekler. Bu sayede, normalde erişemeyeceği verileri (örneğin, diğer tablolardaki kullanıcı adları ve şifreler) elde edebilir. Bu teknik, saldırganın mevcut veritabanı şemasını ve veri tipini tahmin etmesini gerektirir.
• Kör (Blind) SQL Enjeksiyonu: Bu tür enjeksiyonlarda, veritabanı doğrudan hata mesajı veya sorgu sonucu döndürmez. Saldırgan, sorgunun davranışına (örneğin, sayfanın yüklenme süresi veya belirli bir koşulun doğru olup olmamasına bağlı olarak sayfanın içeriğindeki küçük değişiklikler) dayanarak veritabanı hakkında bilgi edinmeye çalışır. Kör SQL enjeksiyonu daha yavaş ve daha karmaşık olsa da, hala son derece etkilidir.
  • Boole Tabanlı (Boolean-based): Saldırgan, bir koşulun doğru mu yanlış mı döndüğüne göre uygulamanın yanıtını gözlemleyerek veriyi tahmin eder. Örneğin, bir karakterin varlığını sorgulayarak sayfanın değişip değişmediğini kontrol eder.
  • Zaman Tabanlı (Time-based): Saldırgan, veritabanını belirli bir süre boyunca beklemeye zorlayan (örneğin `SLEEP()` veya `BENCHMARK()` fonksiyonları) komutlar enjekte eder. Eğer sorgu doğru ise sayfa gecikmeli yüklenir, bu da saldırgana bilgi sağlar.
• Bant Dışı (Out-of-Band) SQL Enjeksiyonu: Bu daha nadir görülen ve gelişmiş bir tekniktir. Saldırgan, veritabanı sunucusunun kendi kontrolündeki bir sunucuya DNS sorgusu veya HTTP isteği göndermesini sağlayarak verileri sızdırır. Bu yöntem, veritabanı sunucusunun dış ağlarla iletişim kurmasına izin verildiği durumlarda işe yarar.

• Veri Sızdırma (Data Exfiltration): Kullanıcı adları, şifreler (hashlenmiş veya düz metin), kredi kartı bilgileri, kişisel kimlik bilgileri ve diğer hassas verilerin çalınması.
• Veri Değişikliği veya Silme (Data Manipulation/Deletion): Mevcut kayıtların değiştirilmesi, yeni kayıtlar eklenmesi veya kritik verilerin tamamen silinmesi. Bu, iş sürekliliğini ciddi şekilde etkileyebilir.
• Yetkisiz Erişim (Unauthorized Access): Uygulama veya veritabanı yönetim sisteminde yönetici ayrıcalıkları elde etme. Bu, saldırganın sistem üzerinde tam kontrol sağlamasına olanak tanır.
• Uzaktan Kod Çalıştırma (Remote Code Execution - RCE): Bazı durumlarda, saldırganlar SQL enjeksiyonu yoluyla veritabanı sunucusunda işletim sistemi komutlarını çalıştırmanın bir yolunu bulabilirler. Bu, sunucunun tamamen ele geçirilmesine yol açabilir.
• Hizmet Reddi (Denial of Service - DoS): Veritabanı sunucusunun aşırı yüklenmesi veya kritik verilerin silinmesi yoluyla hizmetlerin çalışamaz hale gelmesi.

“SQL enjeksiyonu, siber güvenlik dünyasındaki en eski ama hala en tehlikeli tehditlerden biridir. Basit bir mantık hatasıyla dahi tüm sistemi ele geçirme potansiyeli taşır.”

Genişletmek için tıkla ...

• Hazırlanmış İfadeler (Prepared Statements) ve Parametreli Sorgular: Bu, SQL enjeksiyonuna karşı en etkili ve en çok tavsiye edilen savunmadır. Hazırlanmış ifadeler, SQL kodunu kullanıcı girişinden ayırır. Veritabanı motoru, sorgunun yapısını önceden belirler ve kullanıcı girdilerini sadece değer olarak kabul eder, kod olarak değil. Bu, girdinin kötü niyetli bir SQL komutu olsa bile çalışmasını engeller. Çoğu modern programlama dili ve veritabanı sürücüsü bu özelliği destekler.
  
  Kod:

  // Örnek: PHP PDO ile parametreli sorgu
  $stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
  $stmt->execute(['username' => $username, 'password' => $password]);
  
  // Örnek: Java JDBC ile parametreli sorgu
  PreparedStatement pstmt = connection.prepareStatement("SELECT * FROM users WHERE username = ? AND password = ?");
  pstmt.setString(1, username);
  pstmt.setString(2, password);
  ResultSet rs = pstmt.executeQuery();

• Girdi Doğrulama ve Beyaz Liste (Input Validation & Whitelisting): Uygulamanıza giren tüm kullanıcı girdilerini dikkatlice doğrulayın. Sadece beklenen format, tür, uzunluk ve karakter setindeki verilere izin verin. Örneğin, bir yaş alanı sadece sayısal değerler içermelidir, bir posta kodu belirli bir formata uymalıdır. OWASP Girdi Doğrulama Notları bu konuda iyi bir rehberdir.
• Özel Karakterleri Kaçış (Escaping Special Characters): Eğer parametreli sorgular bir nedenle kullanılamıyorsa (ki bu çok nadir bir durum olmalıdır), veritabanına gönderilmeden önce kullanıcı girdilerindeki özel SQL karakterlerini (tek tırnak, çift tırnak, ters eğik çizgi vb.) kaçış fonksiyonlarıyla işleyin. Ancak bu yöntem, parametreli sorgulara kıyasla daha hata eğilimli ve daha az güvenlidir; ikincil bir savunma hattı olarak görülmelidir, birincil değil.
• En Az Ayrıcalık Prensibi (Principle of Least Privilege): Veritabanı kullanıcılarına ve uygulamanın veritabanı bağlantılarına sadece ihtiyaç duydukları minimum ayrıcalıkları verin. Örneğin, bir web uygulaması kullanıcısının DELETE, DROP TABLE veya ALTER TABLE gibi yıkıcı komutları çalıştırma izni olmamalıdır. Bir okuma işlemi yapan kullanıcının sadece okuma yetkisi olmalıdır.
• Hata Mesajlarını Kısıtla: Üretim ortamında ayrıntılı veritabanı hata mesajlarını son kullanıcılara göstermeyin. Bu tür mesajlar, saldırganlara veritabanı yapısı, kullanılan veritabanı sistemi ve olası güvenlik açıkları hakkında değerli bilgiler verebilir. Genel, jenerik hata mesajları gösterin ve detayları sunucu loglarına kaydedin.
• Web Uygulama Güvenlik Duvarları (WAF): Bir WAF, bilinen SQL enjeksiyonu saldırı kalıplarını algılayabilir ve engelleyebilir. Tam bir çözüm olmasa da, ek bir güvenlik katmanı sağlar ve uygulamalardaki zayıflıklar giderilene kadar geçici koruma sağlayabilir. Ancak, WAF'lar her zaman tüm saldırıları engelleyemeyebilir ve kendi yanlış pozitif (false positive) oranlarına sahip olabilirler.
• Düzenli Güvenlik Denetimleri ve Penetrasyon Testleri: Uygulamanızı ve veritabanınızı düzenli olarak güvenlik açıklarına karşı test edin. Güvenlik açığı tarayıcıları ve manuel penetrasyon testleri, SQL enjeksiyonu gibi zafiyetleri tespit etmede kritik öneme sahiptir.
• Veritabanı Yapısının Güçlendirilmesi: Veritabanı şemasını doğru bir şekilde tasarlayın, tüm sütunlar için doğru veri türlerini kullanın ve gereksiz ayrıcalıkları kaldırın.