1. Giriş

Web uygulamalarının veri tabanı yönetim sistemleri ile kurduğu iletişim, modern dijital dünyanın temel işleyiş mekanizmasını oluşturur. Ancak bu iletişim köprüsü, doğru inşa edilmediği takdirde siber saldırganlar için en büyük giriş kapısına dönüşebilmektedir. SQL Injection (SQLi), web uygulamalarında on yıllardır varlığını sürdüren, etkisi en yıkıcı ve tespiti en kritik olan “Enjeksiyon” tabanlı güvenlik zafiyetidir.

Temelinde, kullanıcıdan alınan verilerin yeterince doğrulanmadan doğrudan SQL sorgularına dahil edilmesi yatar. 2026 yılı itibarıyla, gelişmiş yazılım çatılarının sunduğu hazır korumalara rağmen, hatalı kodlama pratikleri nedeniyle SQLi, veri ihlallerinin birincil sebebi olmaya devam etmektedir.

2. Konunun Temel Açıklaması

SQL Injection, bir saldırganın web uygulaması tarafından veri tabanına gönderilen sorguları manipüle etmesi sürecidir. Uygulama, kullanıcıdan gelen girdiyi (input) “sorgunun bir parçası” olarak algılayıp işlediğinde zafiyet tetiklenir.

Kurumsal perspektifte SQLi; müşteri listelerinin çalınması, finansal kayıtların değiştirilmesi ve KVKK kapsamında telafisi güç ihlallerin yaşanması anlamına gelir. Zafiyetin ciddiyeti, saldırganın veri tabanı seviyesinden işletim sistemi seviyesine kadar sızabilme potansiyelinden kaynaklanmaktadır.

3. Çalışma Mantığı ve Teknik Arka Plan

SQL Injection zafiyetinin temelinde, “veri” (data) ile “komut” (code) arasındaki sınırın belirsizleşmesi yatar. Yazılımcı, kullanıcıdan gelen girdinin sadece bir değer olduğunu varsayarken, saldırgan bu girdiye SQL sözdizimine (syntax) ait özel karakterler ekleyerek sorgunun mantığını değiştirir.

Örnek Senaryo: SELECT * FROM kullanicilar WHERE user = '$kullanici' AND pass = '$sifre'

Saldırgan kullanıcı adı alanına ' OR 1=1 -- ifadesini enjekte ederse sorgu şu hale gelir: SELECT * FROM kullanicilar WHERE user = '' OR 1=1 --' AND pass = '...'

Buradaki -- karakteri sorgunun geri kalanını yorum satırı yapar. 1=1 her zaman doğru olduğu için, saldırgan parola bilmeksizin sisteme giriş yapar.