Justin Clarke Lead Author and Technical Editor Rodrigo Marcos Alvarez Dave Hartley Joseph Hemler Alexander Kornbrust Haroon Meer Gary O’Leary-Steele Alberto Revelli Marco Slaviero Dafydd Stuttard

W
arNiNg
Do not try any of these examples on any Web applications or systems, unless 
you have permission (in writing, preferably) from the application or system 
owner. In the United States, you could be prosecuted under the Computer 
Fraud and Abuse Act of 1986 (www.cio.energy.gov/documents/
ComputerFraud-AbuseAct.pdf) or the USA PATRIOT Act of 2001. In the United 
Kingdom, you could be prosecuted under the Computer Misuse Act of 1990 
(www.opsi.gov.uk/acts/acts1990/Ukpga_19900018_en_1) and the revised Police 
and Justice Act of 2006 (www.opsi.gov.uk/Acts/acts2006/ukpga_20060048_
en_1). If successfully charged and prosecuted, you could receive a fine or
a lengthy prison sentence.

---

 
What Is SQL Injection? • Chapter 1
 
11
indication of how many sites are vulnerable to SQL injection is that the data does not
provide insight into vulnerabilities within custom-built sites. CVE requests represent the 
volume of discovered vulnerabilities in commercial and open source applications; they do 
not reflect the degree to which those vulnerabilities exist in the real world. In reality, the 
situation is much, much worse.
We can also look to other resources that collate information on compromised Web sites. 
Zone-H, for instance, is a popular Web site that records Web site defacements. The site shows 
that a large number of high-profile Web sites and Web applications have been hacked over 
the years due to the presence of exploitable SQL injection vulnerabilities. Web sites within 
the Microsoft domain have been defaced some 46 times or more going back as far as 2001. 
You can view a comprehensive list of hacked Microsoft sites online at Zone-H (www. 
zone-h.org/content/view/14980/1/).
The traditional press also likes to heavily publicize any security data breaches, especially 
those that affect well-known and high-profile companies. Here is a list of some of these:
In February 2002, Jeremiah Jacks (
■
www.securityfocus.com/news/346) discovered 
that Guess.com was vulnerable to SQL injection. He gained access to at least 
200,000 customers’ credit card details.
In June 2003, Jeremiah Jacks struck again, this time at PetCo.com (
■
www.security 
focus.com/news/6194), where he gained access to 500,000 credit card details via an 
SQL injection flaw.
On June 17, 2005, MasterCard alerted some of its customers to a breach in the 
■
security of Card Systems Solutions. At the time, it was the largest known breach of 
its kind. By exploiting an SQL injection flaw (www.ftc.gov/os/caselist/0523148/ 
0523148complaint.pdf), a hacker gained access to 40 million credit card details.
In December 2005, Guidance Software, developer of EnCase, discovered that a 
■
hacker had compromised its database server via an SQL injection flaw (www.ftc.
gov/os/caselist/0623057/0623057complaint.pdf), exposing the financial records of 
3,800 customers.
Circa December 2006, the U.S. discount retailer TJX was successfully hacked and 
■
the attackers stole millions of payment card details from the TJX databases.
In August 2007, the United Nations Web site (
■
www.un.org) was defaced via SQL 
injection vulnerability by an attacker in order to display anti-U.S. messages (http://
news.cnet.com/8301-10784_3-9758843-7.html).
Historically, attackers would compromise a Web site or Web application to score points 
with other hacker groups, to spread their particular political viewpoints and messages, to 
show off their “mad skillz,” or simply to retaliate against a perceived slur or injustice. Today, 
however, an attacker is much more likely to exploit a Web application to gain financially

---