SQL Injection Attacks and Defense - 2009

Contents
Chapter 1 What Is SQL Injection?. ................................. 1
Introduction .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Understanding How Web Applications Work.............................2
A Simple Application Architecture. ................................4
A More Complex Architecture.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Understanding SQL Injection. ......................................6
High-Profile Examples.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
Understanding How It Happens.....................................13
Dynamic String Building .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
Incorrectly Handled Escape Characters...........................14
Incorrectly Handled Types.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
Incorrectly Handled Query Assembly............................17
Incorrectly Handled Errors. ..................................18
Incorrectly Handled Multiple Submissions .. . . . . . . . . . . . . . . . . . . . . . . 19
Insecure Database Configuration..................................21
Summary. ....................................................24
Solutions Fast Track.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Frequently Asked Questions.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
Chapter 2 Testing for SQL Injection................................ 29
Introduction .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Finding SQL Injection............................................30
Testing by Inference.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Identifying Data Entry.......................................31
GET Requests .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
POST Requests .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Other Injectable Data .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
Manipulating Parameters .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Information Workf low. .....................................39
Database Errors .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
Commonly Displayed SQL Errors .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
Microsoft SQL Server Errors.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
MySQL Errors.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
Oracle Errors .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
ix