Dalam dunia digital modern, keamanan website dan aplikasi menjadi salah satu aspek paling penting yang tidak boleh diabaikan. Setiap hari, ribuan website di seluruh dunia menjadi target serangan siber dari hacker yang ingin mencuri data, merusak sistem, atau mengambil keuntungan secara ilegal. Salah satu metode serangan yang paling terkenal dan masih sering digunakan hingga saat ini adalah SQL Injection.

SQL Injection merupakan teknik serangan yang memanfaatkan celah keamanan pada aplikasi berbasis database. Dengan memanipulasi query SQL yang dijalankan aplikasi, hacker dapat mengakses data sensitif, login tanpa password, mencuri informasi pengguna, hingga menghapus seluruh isi database.

Meskipun teknik ini sudah dikenal sejak lama, banyak aplikasi modern yang masih rentan terhadap SQL Injection karena kesalahan pengembangan, validasi input yang buruk, dan penggunaan query SQL yang tidak aman.

Pada artikel ini, kita akan membahas secara lengkap mengenai SQL Injection, mulai dari pengertian, cara kerja, jenis-jenis, contoh serangan, dampak, hingga langkah-langkah pencegahan yang wajib diterapkan oleh developer dan pemilik website.

Apa Itu SQL Injection?

SQL Injection adalah teknik serangan siber yang dilakukan dengan menyisipkan atau memanipulasi perintah SQL ke dalam input aplikasi untuk mengakses atau memanipulasi database secara tidak sah.

SQL sendiri merupakan singkatan dari Structured Query Language, yaitu bahasa yang digunakan untuk mengelola database seperti MySQL, PostgreSQL, SQL Server, MariaDB, Oracle, dan lainnya.

Ketika sebuah aplikasi menerima input dari pengguna tanpa validasi yang aman, hacker dapat memasukkan kode SQL berbahaya yang kemudian dijalankan langsung oleh database server.

Akibatnya, hacker dapat:

• Login tanpa password
• Melihat data pengguna
• Mengubah data
• Menghapus data
• Mengambil alih akun administrator
• Menjalankan query berbahaya
• Mengambil seluruh isi database

SQL Injection termasuk dalam kategori serangan paling berbahaya karena dapat memberikan akses langsung ke database aplikasi.

Bagaimana Cara Kerja SQL Injection?

Untuk memahami SQL Injection, kita perlu memahami bagaimana aplikasi web biasanya bekerja.

Ketika pengguna login ke sebuah website, aplikasi biasanya akan menjalankan query SQL seperti berikut:

Jika username dan password cocok, pengguna berhasil login.

Masalah muncul ketika input pengguna langsung dimasukkan ke query tanpa validasi.

Contoh kode yang tidak aman:

Hacker dapat memasukkan input seperti:

Maka query menjadi:

Karena kondisi '1'='1' selalu bernilai TRUE, sistem akan menganggap login berhasil.

Inilah inti dari SQL Injection.

Penyebab SQL Injection

SQL Injection biasanya terjadi karena beberapa kesalahan umum berikut:

1. Tidak Menggunakan Parameterized Query

Developer langsung menggabungkan input pengguna ke query SQL.

2. Validasi Input yang Buruk

Aplikasi tidak memfilter karakter berbahaya seperti:

• Single quote (')
• Double quote (")
• Semicolon (;)
• Comment (--)

3. Error Message Terlalu Detail

Pesan error database yang ditampilkan ke pengguna membantu hacker memahami struktur database.

4. Penggunaan Dynamic Query

Membangun query SQL secara dinamis tanpa sanitasi input.

5. Hak Akses Database Terlalu Tinggi

Akun database memiliki izin penuh seperti DROP TABLE atau DELETE.

Jenis-Jenis SQL Injection

SQL Injection memiliki beberapa jenis utama yang sering digunakan hacker.

1. Classic SQL Injection

Jenis paling umum.

Hacker memasukkan query SQL langsung ke input aplikasi.

Contoh:

Tujuan:

• Bypass login
• Membaca data
• Mengambil informasi database

2. Blind SQL Injection

Pada teknik ini, aplikasi tidak menampilkan error database.

Hacker menggunakan respon aplikasi untuk menebak data.

Contoh:

Jika halaman normal berarti TRUE.

Jika halaman berubah berarti FALSE.

Dari sini hacker dapat menebak isi database sedikit demi sedikit.

3. Time-Based SQL Injection

Hacker menggunakan delay waktu untuk mengetahui apakah query berhasil dijalankan.

Contoh pada MySQL:

Jika halaman melambat 5 detik, berarti query berhasil dieksekusi.

4. Error-Based SQL Injection

Hacker memanfaatkan pesan error database.

Contoh:

Error yang muncul dapat membocorkan:

• Nama tabel
• Nama kolom
• Struktur database
• Versi database

5. Union-Based SQL Injection

Menggunakan UNION SELECT untuk mengambil data dari tabel lain.

Contoh:

Teknik ini sering digunakan untuk mencuri data akun.

Contoh SQL Injection pada Form Login

Bayangkan ada form login sederhana.

Kode backend:

Input normal:

Query:

Namun hacker memasukkan:

Maka query menjadi:

Karena kondisi selalu TRUE, login berhasil.

Dampak SQL Injection

SQL Injection dapat menyebabkan kerugian besar bagi perusahaan maupun pengguna.

1. Kebocoran Data

Data yang dapat dicuri:

• Username
• Password
• Email
• Nomor telepon
• Informasi kartu kredit
• Data pelanggan
• Data internal perusahaan

2. Pengambilalihan Akun

Hacker dapat login sebagai admin dan mengambil alih website.

3. Kerusakan Database

Data dapat dihapus atau dimodifikasi.

Contoh:

4. Kerugian Finansial

Kebocoran data dapat menyebabkan:

• Kehilangan pelanggan
• Tuntutan hukum
• Denda regulasi
• Kerugian bisnis

5. Kerusakan Reputasi

Website yang diretas akan kehilangan kepercayaan pengguna.

6. Penyebaran Malware

Hacker dapat menyisipkan script berbahaya ke database.

Contoh Kasus SQL Injection di Dunia Nyata

Beberapa perusahaan besar pernah menjadi korban SQL Injection.

1. Sony Pictures

Data jutaan pengguna bocor akibat celah SQL Injection.

2. Yahoo

Hacker berhasil mengakses data pengguna melalui kelemahan aplikasi web.

3. Heartland Payment Systems

Salah satu kebocoran data kartu kredit terbesar disebabkan oleh celah keamanan database.

Kasus-kasus ini menunjukkan bahwa SQL Injection dapat menyerang perusahaan besar sekalipun.

Cara Mendeteksi SQL Injection

Berikut beberapa cara mendeteksi apakah aplikasi rentan terhadap SQL Injection.

1. Menggunakan Karakter Petik

Masukkan:

Jika muncul error database, kemungkinan aplikasi rentan.

2. Menggunakan Payload Sederhana

Contoh:

Jika login berhasil tanpa password, aplikasi rentan.

3. Menggunakan SQLMap

SQLMap adalah tool otomatis untuk menguji SQL Injection.

Tool ini dapat:

• Mendeteksi SQL Injection
• Mengambil data database
• Menjalankan query
• Mengecek keamanan aplikasi

Namun tool ini hanya boleh digunakan untuk pengujian legal dan authorized.

4. Melakukan Penetration Testing

Security tester dapat melakukan audit keamanan aplikasi.

Cara Mencegah SQL Injection

Mencegah SQL Injection jauh lebih mudah dibanding memperbaiki kerusakan setelah serangan terjadi.

Berikut langkah-langkah yang wajib diterapkan.

1. Gunakan Parameterized Query

Ini adalah metode paling aman.

Contoh PHP PDO:

Database akan memperlakukan input sebagai data, bukan query.

2. Gunakan ORM

ORM seperti:

• Entity Framework
• Hibernate
• Sequelize
• Eloquent

Dapat membantu mengurangi risiko SQL Injection.

3. Validasi dan Sanitasi Input

Pastikan semua input diperiksa.

Contoh:

• Batasi panjang input
• Tolak karakter aneh
• Gunakan whitelist

4. Gunakan Stored Procedure

Stored Procedure dapat membantu membatasi query langsung.

Namun tetap harus digunakan dengan aman.

5. Jangan Tampilkan Error Database

Hindari menampilkan pesan error detail.

Contoh buruk:

Gunakan pesan umum:

6. Gunakan Hak Akses Minimum

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);

SqlCommand cmd = new SqlCommand(
    "SELECT * FROM Users WHERE Email=@Email", conn);

cmd.Parameters.AddWithValue("@Email", email);

connection.query(
  "SELECT * FROM users WHERE email = ?",
  [email]
);

?id=1

?id=1'

' OR '1'='1

$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];