Justin Clarke Lead Author and Technical Editor Rodrigo Marcos Alvarez Dave Hartley Joseph Hemler Alexander Kornbrust Haroon Meer Gary O’Leary-Steele Alberto Revelli Marco Slaviero Dafydd Stuttard

 
What Is SQL Injection? • Chapter 1
 
27
Q: 
Can Web sites be immune to SQL injection if they do not use the 
GET
method?
A: 
No. 
POST
parameters are just as easily manipulated.
Q: 
My application is written in PHP/ASP/Perl/.NET/Java, etc. Is my chosen language 
immune?
A: 
No. Any programming language that does not validate input before passing it to
a dynamically created SQL statement is potentially vulnerable; that is, unless it uses 
parameterized queries and bind variables.

---

This page intentionally left blank

---

29
Chapter 2
˛
Summary
˛
Solutions Fast Track
˛
Frequently Asked Questions
Testing for 
SQL Injection
Solutions in this chapter:
Finding SQL Injection
 
■
Confirming SQL Injection
 
■
Automating SQL Injection Discovery
 
■

---

30
 
Chapter 2 • Testing for SQL Injection
Introduction
As the presence of SQL injection is commonly tested for remotely (i.e., over the Internet as 
part of an application penetration test) you usually don’t have the opportunity to look at the 
source code to review the structure of the query into which you are injecting. This often 
leads to a need to perform much of your testing through inference—that is, “If I see this, 
then this is probably happening at the back end.”
This chapter discusses techniques for finding SQL injection issues from the perspective 
of the user sitting in front of his browser and interacting with a Web application. We will also 
discuss techniques for confirming that the issue is indeed SQL injection and not some other 
issue, such as XML injection. Finally, we’ll look at automating the SQL injection discovery 
process to increase the efficiency of detecting simpler cases of SQL injection.