Sql on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

SQL Injection su API REST e GraphQL: JSON Body, Header Injection e SQLMap (Guida 2026)

Wed, 04 Mar 2026 00:00:00 +0000

Cos’è la SQL Injection su API REST #

La SQL Injection su API REST avviene quando i parametri inviati tramite JSON body, header HTTP o query GraphQL vengono inseriti in una query SQL senza parametrizzazione. A differenza delle SQLi tradizionali su parametri GET/POST, l’injection avviene spesso nel body JSON delle API moderne o nei parametri di filtro delle applicazioni SPA.

SQL Injection su API REST — Il Nuovo Fronte Della SQLi #

Nel 2026 la maggior parte delle SQLi che trovo non è nel classico ?id=1 di una pagina PHP. È nel JSON body delle API REST, nei parametri GraphQL, negli header custom, nei filtri di ricerca delle Single Page Application. Il frontend React/Vue/Angular parla con un backend REST → il body è JSON → il WAF spesso non lo parsa come parsa i parametri GET/POST tradizionali → il payload SQLi passa.

SQL Injection su ORM: Django, Laravel, Hibernate e Sequelize

Wed, 04 Mar 2026 00:00:00 +0000

SQL Injection su ORM — “Uso un Framework, Sono Protetto” È la Bugia Più Pericolosa del 2026 #

“Non possiamo avere SQL Injection, usiamo Django ORM.” L’ho sentito dire dal CTO di un’azienda che ho compromesso in 40 minuti. La verità: gli ORM (Object-Relational Mapping) come Django ORM, Laravel Eloquent, Hibernate, Sequelize e SQLAlchemy proteggono dalla SQLi base — il .filter(id=user_input) è parametrizzato. Ma nel momento in cui lo sviluppatore usa un raw query, un extra(), un literal(), un query builder con concatenazione stringa o un order_by con input non validato, l’ORM non protegge più niente.

SQL Injection Time-Based: Come Estrarre Dati Senza Output

Wed, 04 Mar 2026 00:00:00 +0000

Time-Based SQL Injection: Guida Completa all’Exploitation con SLEEP e pg_sleep (2026) #

Cos’è la Time-Based SQL Injection (In Breve) #

La Time-Based SQL Injection è una tecnica di Blind SQL Injection che sfrutta funzioni di delay come SLEEP(), WAITFOR DELAY o pg_sleep() per estrarre dati quando l’applicazione non mostra errori né differenze visibili nella risposta.

Fa parte delle tecniche descritte nella Guida Completa alla SQL Injection, insieme alla SQL Injection classica e alla Blind SQL Injection.

Blind SQL Injection: Extraction Boolean-Based con SQLMap (Guida 2026)

Mon, 02 Mar 2026 00:00:00 +0000

La Blind SQL Injection è la forma più comune di SQLi nel 2026: l’applicazione non mostra i risultati della query né gli errori del database nella risposta. Ma c’è una differenza — seppur minima — tra una condizione vera e una falsa: una pagina diversa, un status code diverso, un JSON con risultati vs un JSON vuoto, un redirect vs nessun redirect. Questa differenza binaria (sì/no, true/false) è sufficiente per estrarre l’intero database, un bit alla volta. È come giocare a “indovina chi” con il database: “il primo carattere della password è ‘a’?” → sì → “il secondo è ‘b’?” → no → “è ‘c’?” → sì. Lento ma inesorabile.

SQL Injection Classica: UNION SELECT ed Error-Based (Guida Operativa 2026)

Mon, 02 Mar 2026 00:00:00 +0000

SQL Injection Classica (In-Band) — I Dati Escono Direttamente Nella Response #

La SQL Injection classica (In-Band) è il tipo più diretto: inietti SQL, i dati estratti appaiono direttamente nella response HTTP. Non serve misurare tempi, non serve indovinare character by character — il database risponde con i dati in chiaro nella pagina o nell’API response. Due varianti: Error-Based (i dati escono nei messaggi di errore) e UNION-Based (i dati escono nei risultati della query originale). È il primo tipo di SQLi da testare perché è il più veloce da sfruttare.

Sql on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

SQL Injection su API REST e GraphQL: JSON Body, Header Injection e SQLMap (Guida 2026)

Cos’è la SQL Injection su API REST #

SQL Injection su API REST — Il Nuovo Fronte Della SQLi #

SQL Injection su ORM: Django, Laravel, Hibernate e Sequelize

SQL Injection su ORM — “Uso un Framework, Sono Protetto” È la Bugia Più Pericolosa del 2026 #

SQL Injection Time-Based: Come Estrarre Dati Senza Output

Time-Based SQL Injection: Guida Completa all’Exploitation con SLEEP e pg_sleep (2026) #

Cos’è la Time-Based SQL Injection (In Breve) #

Blind SQL Injection: Extraction Boolean-Based con SQLMap (Guida 2026)

Blind SQL Injection — Quando il Database Non Parla, Ma Annuisce #

SQL Injection Classica: UNION SELECT ed Error-Based (Guida Operativa 2026)

SQL Injection Classica (In-Band) — I Dati Escono Direttamente Nella Response #