La injecció de llenguatge de consulta estructurada (SQL) és una tècnica utilitzada per a modificar o recuperar dades de bases de dades SQL. Mitjançant la inserció de sentències SQL especialitzades en un camp d’entrada, un atacant és capaç d’executar comandaments que permeten la recuperació de dades de la seva base de dades, la destrucció de dades confidencials o altres comportaments manipuladors.

Amb l’execució adequada de comandaments SQL, un usuari no autoritzat és capaç de suplantar la identitat d’un usuari amb més privilegis, convertir-se a si mateix o a uns altres en administradors de la base de dades, manipular les dades existents, modificar les transaccions i els balanços, i recuperar o destruir totes les dades del servidor.

Les injeccions SQL es produeixen per una falta de validació dels inputs dels clients d’una pàgina web. Aquesta fallada de seguretat significa que un usuari concatena comandaments en llenguatge SQL dins d’una consulta en l’aplicació i, d’aquesta manera, executar el codi dins de la pàgina. Existeixen tres tipus d’injecció SQL:

• Injecció SQL In-Band: permet obtenir informació de la base de dades de l’aplicació web, per mitjà del mateix canal que s’utilitza per a explotar-la.

• Injecció SQL basat en error: permet extreure informació de la base de dades, per mitjà d’errors induïts a propòsit.

• Injecció SQL a cegues: permet conèixer informació de la base de dades, sense veure cap resultat de la consulta en la pantalla del lloc web.