SQL INJECTION

R. Sulthan Hadi ~ ISCI Leader

DEFINISI SQL
INJECTION?
 SQL injection terjadi karena
data yang di inputkan user
SQL injection adalah sebuah tidak di validasi oleh
serangan injeksi kode aplikasi dan langsung dimuat
terhadap celah keamanan sebagai query SQL. Sehingga
database sebuah aplikasi inputan tersebut di jalankan
atau website. sebagai bagian kode SQL
Username : admin
Password : adminAdmin

SELECT * FROM user WHERE username = ‘admin’

AND password = ‘adminAdmin’

TRUE
TRUE
Username : ‘or ‘1’ = ‘1
Password : ‘or ‘1’ = ‘1

SELECT * FROM user WHERE username = ‘‘ or ‘1’

= ‘1’ AND password = ‘‘ or ‘1’ = ‘1’

TRUE
TRUE
TIPE SQL INJECTION?
 In-band SQL Injection Infirential SQL Injection Out-of-band SQL Injection

Celah keamanan ini

teknik serangan In-band Serangan jenis ini tergantung pada fitur
SQL Injection yang disebut juga dengan yang di aktifkan oleh
mengandalkan wrong massage logika serangan true or server database yang
yang nantinya dikirimkan false, yaitu ketika
oleh database server agar di gunakan
serangan injection
mendapatkan informasi
tentang struktur dalam
dilakukan mengalami
database keberhasilan namun tidak
menampilkan pesan error
kepada penyerang.

Error-based SQL Injection

Blind-Boolean-based SQL
Injection
Union-based SQL Injection

Blind-time-based SQL
Injection
DAMPAK SQL INJECTION?
1. Masuk ke dalam website tanpa username atau password yang
valid

2. Memodifikasi data

3. Menghapus data yang tersedia

4. Mencuri informasi yang sensitive

MENCEGAH SQL
INJECTION?
Parameterized SQL Query Validasi Input Sesuaikan input box

ditujukan agar database Mem-filter data yang di Apabila form untuk

dapat membedakan mana inputkan oleh user. input box tujuannya
yang merupakan SQL Misalnya, hanya adalah untuk
statement dan mana yang mengizinkan inputan menuliskan nama, maka
merupakan data yg di huruf, tidak dengan
inputkan oleh user
diberikan khusus untuk
karakter. karakter huruf saja.
Untuk mengisi kolom
nomor telepon maka
cukup diisi dengan
numbering atau angka
saja sehingga tindakan
penyerangan SQL
Injection bisa
dihindari
LET’S PLAY!
HAVE ANY QUESTIONS?
SEKIAN, TERIMA KASIH