什麼是 SQL 注入（SQLi）？如何防範攻擊？

當企業大量依賴資料庫處理帳號、交易與服務資訊，攻擊者也開始針對這些系統尋找破口。SQL 注入至今仍是最常被利用的攻擊手法之一，一旦被入侵，不僅可能導致資料外洩，也會造成服務中斷與重大營運風險。

什麼是 SQL 注入（SQLi）？

SQL 注入（SQL Injection，SQLi）是一種網路攻擊，攻擊者透過操控網頁應用程式輸入，將惡意 SQL 指令注入資料庫查詢。

這類漏洞通常出現在應用程式未驗證輸入或未使用參數化查詢時。攻擊可能導致敏感資料外洩、資料被竄改，甚至整個資料庫遭刪除，駭客在某些情況下甚至可取得管理權限。

SQL 注入的典型攻擊手法

只要應用程式沒有驗證輸入或未採用參數化查詢，任何表單、搜尋框、登入欄位都可能成為 SQL 注入的入口。理解常見的攻擊情境與操作方式，有助開發者提前辨識弱點並建立更完善的防護。

In-band SQLi（同頻道 SQL 注入）

示例：攻擊者在登入欄位輸入像 admin' OR 1=1 -- 這類惡意字串，使查詢條件永遠為真。
結果：無須密碼就能直接登入系統。

Union-based SQLi（UNION 聯合查詢注入）

示例：在搜尋欄位輸入：shoes' UNION SELECT username, email FROM users --
攻擊者利用 UNION 把惡意查詢與合法查詢合併。
結果：原本應顯示產品資訊的頁面，會被迫顯示使用者帳號、Email 等敏感資料。

Error-based SQLi（錯誤回傳式注入）

示例：攻擊者輸入破壞語法的字元（如 '），藉由資料庫回傳的詳細錯誤訊息推敲：資料表名稱、欄位名稱、資料庫架構
結果：攻擊者可利用這些資訊打造更精準的後續攻擊。

SQL 注入攻擊的風險

SQL 注入帶來的危害不只停留在技術層面，從品牌信任、法規遵循到敏感資料外洩，都可能對企業造成深遠影響。以下將從三大面向說明其主要風險。

品牌與財務衝擊

成功的 SQL 注入攻擊可能導致客戶資料外洩、帳號被盜用或未授權的金流操作，對企業造成嚴重損害，削弱客戶信任，並帶來營收損失、法律費用及高額資安事件處理成本。

合規風險

處理敏感個資或財務資料的組織通常需遵守 GDPR、HIPAA 與 PCI DSS 等法規。若發生 SQL 注入造成資料外洩，可能違反法規，面臨重罰與監管單位嚴格審查。

敏感資料外洩

SQL 注入可暴露使用者帳號、身分證號、財務資料或企業機密等敏感資訊。這些資料除了立即風險外，也可能被轉售或用於後續攻擊，加重損害。

SQL 注入防護技巧

防止 SQL 注入需要結合安全程式設計、資料庫設定與監控工具，從多層面降低攻擊風險。

參數化查詢與預備語句

使用參數化查詢可確保使用者輸入被當作資料處理，而非可執行程式碼。預備語句允許開發者在 SQL 模板中使用佔位符，避免直接串接或拼接輸入。

資料庫稽核與監控

持續監控資料庫活動，可偵測可疑查詢或異常存取行為。稽核日誌提供歷史紀錄，對事件分析與法規遵循非常重要。

儲存程序（Stored Procedures）

將資料庫邏輯封裝在儲存程序中，可控制 SQL 指令執行。透過程序內驗證輸入與限制直接存取資料表，減少注入風險。

內建 SQL 安全性的 ORM 框架

ORM（物件關聯對應）框架如 Hibernate 或 SQLAlchemy，自動處理查詢構建，可降低 SQL 注入機率。但開發者需避免用 raw SQL 覆蓋 ORM 查詢，以免破壞安全防護。

輸入驗證與清理

驗證與清理使用者輸入至關重要。允許清單（allowlist）方式只接受安全字元與格式，例如帳號欄位僅接受英數字，特殊字元會被拒絕。
也可使用跳脫（escaping）技巧，對 SQL 語法可能解析的特殊字元進行編碼或中和，避免攻擊者改變查詢邏輯。

最小權限存取

限制使用者資料庫權限，只給予必要的操作範圍。即使帳號遭入侵，也能降低損害範圍。

網頁應用防火牆（WAF）與監控工具

WAF 可即時偵測並阻擋 SQL 注入攻擊，搭配其他監控工具可在應用程式層之外增加防護層。

定期安全測試

定期進行滲透測試與 SQL 注入測試案例，透過自動化工具與人工審查，及早發現漏洞，確保資安策略完整。

EDB Postgres AI 強化資料庫安全

EDB 提供一系列 PostgreSQL 工具與擴充功能，使防範 SQL 注入更簡單且有效，除了基本保護，還支援強化監控、稽核與安全策略。

EDB Postgres AI Advanced Server (EPAS)
內建安全擴充功能，加強 PostgreSQL 原生防護，包括更嚴格的密碼政策、角色管理與連線控管，降低未授權存取風險。

EDB Postgres AI Security Pack
提供進階稽核、細緻存取控制與安全策略，可在 SQL 執行前阻擋風險指令，協助維持合規。

PostgreSQL 擴充支援
支援多種提升安全的 PostgreSQL 擴充功能：

• Pgcrypto：資料加密與安全雜湊
• Pgaudit：詳細 SQL 稽核
• Plpgsql_check：PL/pgSQL 靜態程式碼分析
• Pg_stat_statements：追蹤 SQL 執行狀態與效能

EDB Postgres Insight
提供資料庫健康與效能監控，同時標示異常 SQL 行為，如登入失敗或非典型查詢，協助偵測注入攻擊。

EDB Postgres AI Enterprise Manager
自動健康檢查、警示與集中監控，協助管理者快速發現潛在安全問題，包括跨資料庫的 SQL 注入嘗試。

透過 EDB Postgres AI 專屬安全功能，組織可即時偵測與阻擋 SQL 注入，並維持合規與高流量環境下的韌性。

維持 SQL 注入防護韌性

防範 SQL 注入不是一次性的任務，而需持續努力。即使已有防護措施，程式碼變動、第三方互動與攻擊手法更新，都可能產生新漏洞。維持韌性包括：

• 定期更新：套用資料庫與相關軟體的安全補丁，避免因舊版本漏洞被攻擊。
• 稽核與 code review：檢查設定與程式碼，確保查詢一律使用參數化與安全綁定。
• 持續測試：透過自動化滲透測試提前找出可能的注入風險。
• 導入安全流程：將安全納入開發生命周期，如權限控管與建置時的自動掃描。
• 團隊教育：讓開發與 DBA 理解安全程式設計、參數綁定與輸入驗證的重要性。

本文翻譯自：What Is SQL Injection (SQLi), and How Do I Prevent Attacks?

想了解更多資訊，歡迎聯絡我們，或是 加入歐立威 Line 好友！