[{"data":1,"prerenderedAt":120},["ShallowReactive",2],{"publication:he:P151":3},{"meta":4,"copy":15,"relatedArticles":105,"terms":106,"term":107,"resourceParent":114,"glossaryParent":117},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P151","\u002Fglossary\u002Fsql-injection","term","מה זה SQL Injection","מה זה SQL Injection ואיך מפרידים נתונים משאילתה","SQL Injection הוא שימוש בקלט שמשנה שאילתת מסד נתונים באופן לא רצוי. הגדרה, השלכות, הגנות ומגבלות בדיקה לבעלי אתרים.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fwordpress-security","2026-10-29",{"intro":16,"sections":17,"checklist":69,"faq":74,"sources":84,"links":86,"cta":100},"SQL Injection, או הזרקת SQL, מתרחש כאשר מידע לא מהימן משתלב בשאילתה בצורה שיכולה לשנות את משמעותה במקום להישאר נתון בלבד. הסיכון עשוי להשפיע על מידע או על פעולות במסד, בהתאם לחולשה ולהרשאות. טופס שנראה תקין או אתר שפועל דרך HTTPS אינם הוכחה שהשאילתות בשרת בנויות בבטחה.",[18,23,54,59,64],{"title":19,"paragraphs":20},"איפה עובר הגבול בין נתון להוראה",[21,22],"יישום עשוי להשתמש בערך שהתקבל מטופס, קישור או מערכת חיצונית כדי לבנות בקשה למסד. הבעיה אינה עצם קבלת הטקסט, אלא שימוש לא בטוח בו בהקשר השאילתה. אין צורך שהקלט יגיע דווקא משדה שמוצג למשתמש כדי שיהיה לא מהימן.","המושג מתאר סוג חולשה, לא הוכחת תקיפה באתר מסוים. כדי לקבוע חשיפה צריך להבין את הקוד, הגרסה והמסלול. אין לבדוק אתר ללא הרשאה או להקליד מחרוזות תקיפה בחנות פעילה כדי לראות אם תתרחש שגיאה.",{"title":24,"paragraphs":25,"table":27,"sources":50},"עקרונות הגנה ומה כל אחד מוסיף",[26],"OWASP ממליצה להפריד מבנה SQL מערכים באמצעות פרמטרים וכלים מתאימים. גם הגבלת ערכים במקומות נדרשים והרשאות מצומצמות תורמות להגנה. הכנת שאילתה אחרי שכבר שולב בה קלט בצורה לא בטוחה אינה מתקנת את ההפרדה בדיעבד.",{"caption":28,"headers":29,"rows":33},"שכבות הגנה והגבולות שלהן",[30,31,32],"שכבה","תרומה","מה אינה מחליפה",[34,38,42,46],[35,36,37],"פרמטרים לשאילתה","ערכים מטופלים כנתונים במנגנון הנתמך","טיפול בכל מבנה דינמי אחר",[39,40,41],"בדיקת ערכים","התאמה לכללים שהיישום צריך","בנייה בטוחה של השאילתה",[43,44,45],"הרשאות מסד","צמצום היכולת הזמינה ליישום","תיקון החולשה בקוד",[47,48,49],"WAF","בקרה משלימה על בקשות","הוכחה שכל השאילתות בטוחות",[51],{"label":52,"url":53},"OWASP: מניעת SQL Injection","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FSQL_Injection_Prevention_Cheat_Sheet.html",{"title":55,"paragraphs":56},"מה בעל אתר צריך לברר לגבי תוסף או קוד",[57,58],"אם פורסם דיווח, זהו את המוצר והגרסה, את הפונקציה המושפעת ואת התיקון או ההנחיה הרשמית. מזהה CVE או כותרת חמורה אינם לבדם הוכחה שהאתר הותקף. גם היעדר הודעה בכלי סריקה אינו אישור שאין מסלול פגיע.","מפתח או בודק מורשה צריכים להבחין בין המלצת קוד כללית לבין תיקון שנבדק במערכת. אסור להסתפק בהוספת escaping אקראי או בסינון תו אחד בלי להבין את ההקשר. בהתקנה עסקית נדרש גם תהליך עדכון ובדיקת תפקוד.",{"title":60,"paragraphs":61},"דוגמה להסבר הממצא בלי לפרסם דרך תקיפה",[62,63],"התרחיש להמחשה. בדיקה מורשית מזהה שקלט במנגנון חיפוש משולב בשאילתה לא בטוחה. הדוח יכול לתאר רכיב, היקף, ראיה ומסלול תיקון בלי לפרסם פרטי ניצול או נתוני לקוחות. לאחר שינוי בודקים גם תפקוד רגיל וגם את בקרת ההפרדה בהיקף שאושר.","אם נמצאה ראיה לגישה לא מורשית, עבודת התיקון אינה מחליפה בירור היקף ושימור ראיות. יש לתאם מי רשאי לטפל בנתונים ואילו פעולות מאושרות לפני ניקוי, מחיקה או שחזור.",{"title":65,"paragraphs":66},"איך SQL Injection שונה מ-XSS ומ-CSRF",[67,68],"SQL Injection נוגע לפרשנות שאילתה במסד. XSS נוגע להרצת תוכן לא רצוי בדפדפן, ו-CSRF לפעולה לא רצויה דרך הקשר מאומת של משתמש. ההגנות אינן אותו מנגנון, ולכן תיקון בשכבה אחת אינו הוכחה שהאחרות מוגנות.","להחלטה מעשית על אתר קיים כדאי לבקש היקף בדיקה, מקורות, מגבלות ושיטת retest. אין להשתמש בכותרת החולשה כהבטחה לבדיקה מקיפה או כמדד יחיד למצב אבטחת העסק.",[70,71,72,73],"הובחן סוג חולשה מראיה לניצול.","הקוד נבחן בהקשר המסד והשאילתה.","ההרשאות נבדקו לצד דרך התיקון.","בוצע retest מורשה ותועדו מגבלות.",[75,78,81],{"question":76,"answer":77},"SQL Injection אפשרי רק בטופס התחברות?","לא, כל מסלול שמגיע לבניית שאילתה לא בטוחה יכול להיות רלוונטי, בהתאם ליישום. אין להסיק היעדר סיכון לפי מראה המסך.",{"question":79,"answer":80},"HTTPS או תוסף אבטחה מונעים אותו תמיד?","לא, הצפנת תעבורה ובקרה על בקשות אינן הוכחה שהקוד מפריד נתונים משאילתה כראוי.",{"question":82,"answer":83},"איך יודעים שהבעיה תוקנה?","מאמתים את השינוי בהיקף ובסביבה מתאימים ומבצעים בדיקה חוזרת מורשית. עצם סגירת הודעת שגיאה אינה הוכחה מספקת.",[85],{"label":52,"url":53},[87,90,93,96,98],{"path":88,"label":89},"\u002Fglossary\u002Fxss","מה זה XSS",{"path":91,"label":92},"\u002Fglossary\u002Fcsrf","מה זה CSRF",{"path":94,"label":95},"\u002Fglossary\u002Fplugin-vulnerability","חולשה בתוסף לעומת פגיעה באתר",{"path":12,"label":97},"בדיקת אבטחה בהיקף מוגדר",{"path":13,"label":99},"אבטחת אתר WordPress",{"title":101,"description":102,"button":103,"type":104},"קיבלתם דיווח על חולשה באתר?","נברר רכיב, גרסה והיקף ונגדיר בדיקה וטיפול מתואמים, בלי להסיק פגיעה מכותרת בלבד.","לתיאום בדיקה וטיפול","check",[],[],{"name":108,"aliases":109},"SQL Injection",[110,111,112,113],"sql injection","sqli","הזרקת sql","הזרקת שאילתות",{"path":115,"label":116},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":118,"label":119},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061421]