شرح حقن SQL (وكيفية الوقاية منه) — 2026

حقن SQL (اختصارًا SQLi) واحد من أقدم ثغرات الويب وأشدّها ضررًا — ولا يزال يظهر في OWASP Top 10 ضمن فئة «الحقن». وهذا شرح يركّز على الدفاع: ما هو، ولماذا يحدث، وكيف توقفه نهائيًا.

الفكرة الجوهرية

تبني تطبيقات الويب استعلامات قاعدة البيانات باستخدام مدخلات المستخدمين. فإذا مُزِجت تلك المدخلات مباشرةً في الاستعلام كـكود بدل معاملتها كـبيانات، أمكن للمهاجم تغيير ما يفعله الاستعلام.

من حيث المبدأ، قد يقارن فحص تسجيل الدخول اسم مستخدم وكلمة مرور. فإذا لم تُفصَل المدخلات عن بنية الاستعلام، أمكن لمدخلات مُعدّة أن تغيّر منطق الاستعلام — مثل تحويل شرط إلى شرط صحيح دائمًا فيتجاوز الفحص. والمثال التعليمي الكلاسيكي مدخل مثل ' OR '1'='1، وهو يوضّح كيف تغيّر المدخلات غير المُرمَّزة معنى الاستعلام.

الخلاصة ليست الحمولة — بل السبب الجذري: مدخلات غير موثوقة تُفسَّر كأنها كود.

لماذا هو بهذه الخطورة

قد يتيح حقن SQL الناجح للمهاجم قراءة قواعد بيانات كاملة (بيانات اعتماد ومعلومات شخصية)، وتعديل السجلات أو حذفها، وأحيانًا التوغّل أعمق داخل النظام. وكثير من تسريبات البيانات الكبرى يعود إليه.

الأنواع الرئيسية

• داخل النطاق (In-band) — تعود النتائج مباشرةً في استجابة التطبيق (الأسهل رصدًا).
• الأعمى (Blind) — لا يُظهر التطبيق النتائج، فيستنتج المهاجمون الإجابات من السلوك أو التوقيت.
• خارج النطاق (Out-of-band) — تُهرَّب البيانات عبر قناة منفصلة.

كيف تمنعه (الجزء الذي يهمّ)

1. الاستعلامات المعلَّمة / العبارات المُحضَّرة. هذا الإصلاح رقم واحد — تعامل قاعدة البيانات المدخلات كبيانات صرفة لا كودًا أبدًا. استخدمها في كل مكان.
2. أُطر ORM مستخدَمة بشكل صحيح — معظم الأُطر الحديثة تُعلِّم الاستعلامات نيابةً عنك؛ لا تلتفّ عليها باستعلامات مبنيّة من نصوص خام.
3. التحقق من المدخلات — اسمح بالصيغ المتوقعة عبر قائمة سماح (لكن التحقق مكمِّل لا بديل عن التعليم).
4. الصلاحية الأدنى — يجب أن يمتلك حساب قاعدة بيانات التطبيق ما يحتاجه من وصول فقط.
5. جدار حماية تطبيقات الويب (WAF) — طبقة إضافية مفيدة، لكن لا تكن دفاعك الوحيد أبدًا.

كيف يُكتشف

يسبر المختبِرون (والأدوات المدفوعة بالذكاء الاصطناعي) المدخلات لمعرفة ما إذا كان التطبيق يفصل البيانات عن الكود — بأمان، وضمن نطاقات مصرَّح بها. وأدوات مثل Burp Suite تساعد على رسم المدخلات واختبارها. الهدف دائمًا أن تكتشف وتُصلح قبل أن يفعل المهاجم — راجع ما هو اختبار الاختراق؟.

تعلّم أمن تطبيقات الويب كما ينبغي، مجانًا، في أكاديمية Pentevo.