Ketika berbicara tentang SQL Injection, bayangan yang sering muncul adalah pesan error database yang vulgar di layar atau kemampuan untuk langsung melihat hasil kueri sensitif. Namun, tidak semua serangan SQL Injection memberikan umpan balik yang begitu jelas. Ada jenis serangan yang lebih licik dan sulit dideteksi secara kasat mata, dikenal sebagai Blind SQL Injection. Kerentanan ini terjadi pada aplikasi web yang juga rentan terhadap injeksi SQL (yaitu, aplikasi yang menggabungkan input pengguna secara tidak aman ke dalam kueri database), tetapi tidak mengembalikan hasil kueri atau pesan kesalahan database secara langsung ke browser pengguna. Ini berarti penyerang tidak dapat melihat output database secara langsung untuk mengonfirmasi atau mengumpulkan data. Tantangannya di sini adalah bagaimana cara mengekstrak informasi dari database ketika aplikasi "bisu" mengenai hasil kueri yang disusupi.
Untuk mengeksploitasi Blind SQL Injection, penyerang harus mengandalkan metode inferensi berdasarkan perilaku aplikasi yang berbeda sebagai respons terhadap kueri yang disuntikkan. Dua teknik utama yang digunakan adalah Blind SQL Injection Berbasis Boolean dan Blind SQL Injection Berbasis Waktu (Time-based). Pada Blind SQL Injection Berbasis Boolean, penyerang membuat kueri yang menghasilkan nilai TRUE atau FALSE, lalu mengamati perbedaan kecil namun konsisten pada respons aplikasi, seperti perubahan konten halaman, kode status HTTP, atau bahkan perbedaan ukuran respons, untuk mengetahui apakah kondisi yang mereka uji bernilai benar atau salah. Ini memungkinkan penyerang untuk "menebak" informasi (misalnya, karakter demi karakter) dari database. Sementara itu, Blind SQL Injection Berbasis Waktu memanfaatkan fungsi penundaan waktu (seperti SLEEP() atau WAITFOR DELAY) dalam kueri SQL. Penyerang menyisipkan kueri yang hanya akan menyebabkan penundaan signifikan jika kondisi yang mereka uji bernilai TRUE, sehingga mereka dapat menyimpulkan kebenaran kondisi hanya berdasarkan lamanya waktu respons server.
Meskipun teknik Blind SQL Injection membutuhkan lebih banyak kesabaran dan seringkali memerlukan bantuan alat otomatisasi (seperti sqlmap) karena sifatnya yang lambat dan iteratif, dampaknya sama berbahayanya dengan SQL Injection "biasa". Kerentanan ini tetap memungkinkan penyerang untuk mencuri seluruh isi database atau mendapatkan akses tidak sah, hanya dengan metode yang berbeda dalam mengumpulkan informasi. Penting untuk ditekankan bahwa akar penyebab Blind SQL Injection sama persis dengan SQL Injection biasa: aplikasi web gagal menangani input pengguna secara aman saat berinteraksi dengan database. Oleh karena itu, metode pencegahan yang paling efektif juga sama, yaitu dengan mengimplementasikan Parameterized Queries (Prepared Statements). Teknik ini memastikan bahwa input pengguna selalu diperlakukan sebagai data dan tidak pernah dieksekusi sebagai bagian dari perintah SQL, secara fundamental menghilangkan celah untuk semua jenis serangan SQL Injection, terlepas dari apakah aplikasi menampilkan error atau tidak.
