--- title: "SQL-injectie (SQL injection): uitleg en voorbeeld" description: "SQL-injectie is een aanval waarbij iemand via een invoerveld eigen SQL-code meestuurt die de database van een website uitvoert." canonical: https://www.keurigonline.nl/begrippenlijst/sql-injectie last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # SQL-injectie SQL-injectie is een aanval waarbij iemand via een invoerveld eigen SQL-code meestuurt die de database van een website uitvoert. SQL-injectie (Engels: SQL injection) is een aanval waarbij iemand via een formulier, zoekveld of URL stukjes SQL meestuurt, die een kwetsbare website als opdracht aan de database doorgeeft. Zo kan een aanvaller gegevens uitlezen, wijzigen of wissen waar hij nooit bij had mogen komen. Het gaat mis als code de invoer van een bezoeker rechtstreeks in een query plakt. Stel dat een inlogpagina SELECT \* FROM users WHERE naam = '$naam' uitvoert. Vult iemand als naam ' OR '1'='1 in, dan is de voorwaarde altijd waar en geeft de database alle gebruikers terug. Met dezelfde truc lees je soms een compleet klantenbestand uit, inclusief wachtwoordhashes. De echte oplossing heet een prepared statement. De query en de invoer gaan dan apart naar de database, zodat die de invoer altijd als waarde behandelt en nooit als code. In PHP doe je dat met PDO: $stmt = $pdo->prepare('SELECT \* FROM users WHERE naam = ?'); en daarna $stmt->execute(\[$naam\]). Injectie is een oud probleem, maar staat in de OWASP Top 10 van 2025 nog steeds op plek 5. Schrijf je zelf geen code, dan zit het risico vooral in de plugins en extensies van je CMS. Houd die bijgewerkt en verwijder wat je niet gebruikt. Geef elke site ook een eigen database met een eigen gebruiker, die je in DirectAdmin aanmaakt onder Accountbeheer en Databasen, zodat een SQL-injectie in de ene site niet bij de database van de andere kan. ## Geschiedenis SQL-injectie werd voor het eerst publiek beschreven op 25 december 1998, door Jeff Forristal onder de schuilnaam rain.forest.puppy, in [Phrack 54](https://phrack.org/issues/54/8.html). Hij liet zien hoe je via een webpagina extra opdrachten aan Microsoft SQL Server kon meegeven ([Wikipedia](https://en.wikipedia.org/wiki/SQL_injection)). De aanval kreeg in 2007 een bijnaam dankzij de strip [xkcd 327](https://xkcd.com/327/), over een zoon die Robert'); DROP TABLE Students;-- heet: Little Bobby Tables. Belangrijke mijlpalen: - **1998:** eerste publieke beschrijving in Phrack - **2007:** xkcd maakt Bobby Tables beroemd - **2013:** injectie staat op plek 1 van de OWASP Top 10 - **2025:** injectie staat op plek 5 van de [OWASP Top 10:2025](https://top10.owasp.org/2025/A05_2025-Injection/) ## Bronnen 1. **OWASP** - [SQL Injection Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html) 2. **OWASP (2025)** - [A05:2025 Injection](https://top10.owasp.org/2025/A05_2025-Injection/) 3. **PHP Manual** - [Prepared statements and stored procedures](https://www.php.net/manual/en/pdo.prepared-statements.php) 4. **KeurigOnline Help** - [Hoe maak ik een MySQL database aan?](https://help.keurigonline.nl/article/55-hoe-maak-ik-een-mysql-database-aan) 5. **Wikipedia** - [SQL injection](https://en.wikipedia.org/wiki/SQL_injection) ## Gerelateerde artikelen Beveiliging 21 jul 2026 [WordPress CVE-2026-63030 beveiligen: patch nu (wp2shell)](https://www.keurigonline.nl/blog/wordpress-cve-2026-63030-beveiligen) CVE-2026-63030 is de kritieke WordPress-kwetsbaarheid waarvoor WordPress op 17 juli 2026 een noodpatch uitbracht, samen met een tweede, gekoppelde kwetsbaarheid: samen staan ze bekend als wp2shell. Het Nationaal Cyber Security Centrum verwacht op korte termijn actief misbruik, want de proof-of-concept-code staat inmiddels gewoon op GitHub.[\[1\]](https://www.security.nl/posting/945715/NCSC+verwacht+op+korte+termijn+misbruik+van+kritiek+WordPress-lek+-+Update?channel=rss) Het gat maakt een volledige, ongeauthenticeerde overname van je WordPress-site mogelijk, zonder dat er een kwetsbare plugin of thema aan te pas komt. **Samenvatting: CVE-2026-63030 (wp2shell) patchen** Twee gekoppelde WordPress Core-bugs, CVE-2026-63030 (CVSS 9,8) en CVE-2026-60137 (CVSS 9,1), vormen samen wp2shell: een pre-auth remote-code-execution-keten die al werkt op een kale, ongewijzigde WordPress-installatie. Getroffen zijn versies 6.9.0 tot 6.9.4 en 7.0.0 tot 7.0.1 (volledige overname) en 6.8.0 tot 6.8.5 (sql-injectie). Update per direct naar 6.9.5, 7.0.2 of 6.8.6. Kun je dat nu niet? Blokkeer dan tijdelijk het endpoint `/wp-json/batch/v1` op je firewall. ## Wat is er aan de hand: NCSC waarschuwt voor WordPress-lek CVE-2026-63030 Het NCSC verwacht op korte termijn misbruik van CVE-2026-63030, een kritieke kwetsbaarheid in WordPress Core.[\[1\]](https://www.security.nl/posting/945715/NCSC+verwacht+op+korte+termijn+misbruik+van+kritiek+WordPress-lek+-+Update?channel=rss) De volledige officiële waarschuwing staat in advisory NCSC-2026-0250.[\[2\]](https://advisories.ncsc.nl/2026/ncsc-2026-0250.html) Beveiliging 11 dec 2025 [AI-bots op je website: analyse van 5,3 miljoen requests op shared hosting](https://www.keurigonline.nl/blog/ai-bots-server-analyse) ``` # Rate limiting met mod_evasive DOSHashTableSize 3097 DOSPageCount 5 DOSSiteCount 50 DOSPageInterval 1 DOSSiteInterval 1 DOSBlockingPeriod 10 ``` ### 4. Kies hosting met goede monitoring **Definitie:** Een [Web Application Firewall (WAF)](https://owasp.org/www-project-web-security-testing-guide/latest/) is een beveiligingslaag die HTTP-verkeer filtert en monitort tussen een webapplicatie en het internet. Een WAF beschermt tegen aanvallen zoals [XSS](https://owasp.org/www-community/attacks/xss/), [SQL-injectie](https://owasp.org/www-community/attacks/SQL_Injection), en kan ook bots herkennen op basis van gedragspatronen. Of je nu wilt blokkeren of niet — goede monitoring is belangrijk. Zo weet je wat er op je server gebeurt. Waar je op kunt letten bij je hostingpartij: