Justin Clarke Lead Author and Technical Editor Rodrigo Marcos Alvarez Dave Hartley Joseph Hemler Alexander Kornbrust Haroon Meer Gary O’Leary-Steele Alberto Revelli Marco Slaviero Dafydd Stuttard

 
What Is SQL Injection? • Chapter 1
 
25
tier (a database such as Microsoft SQL Server, MySQL, Oracle, etc.). The Web 
browser (the presentation tier: Internet Explorer, Safari, Firefox, etc.) sends requests 
to the middle tier (the logic tier), which services the requests by making queries 
and updates against the database (the storage tier).
Understanding SQL Injection
SQL injection is an attack in which SQL code is inserted or appended into 
˛
application/user input parameters that are later passed to a back-end SQL server for 
parsing and execution.
The primary form of SQL injection consists of direct insertion of code into 
˛
parameters that are concatenated with SQL commands and executed.
When an attacker is able to modify an SQL statement, the process will run with 
˛
the same permissions as the component that executed the command (e.g., database 
server, application server, or Web server), which is often highly privileged.
Understanding How It Happens
SQL injection vulnerabilities most commonly occur when the Web application 
˛
developer does not ensure that values received from a Web form, cookie, input 
parameter, and so forth are validated or encoded before passing them to SQL 
queries that will be executed on a database server.
If an attacker can control the input that is sent to an SQL query and manipulate 
˛
that input so that the data is interpreted as code instead of as data, he may be able 
to execute code on the back-end database.
Without a sound understanding of the underlying database that they are interacting 
˛
with or a thorough understanding and awareness of the potential security issues
of the code that is being developed, application developers can often produce 
inherently insecure applications that are vulnerable to SQL injection.

---