Один неочищенный параметр на внутреннем портале — и злоумышленник читает счета клиентов. Вот реальный путь банковской SQL-инъекции.
Инъекция в ядре банка редко начинается на публичном сайте. Она начинается на один-два шага глубже: админ-портал, панель поддержки, устаревший веб-сервис, который склеивает запрос к базе. Периметр выглядит чистым, поэтому запрос никто не проверял.
Как только срабатывает первый union или вывод через ошибку, злоумышленник рисует схему и доходит до чтения остатков, истории проводок и карточных таблиц — часто под учёткой базы с самыми широкими правами, потому что так было удобно.
Сканер видит параметр, шлёт кавычку, проверяет сигнатуру и идёт дальше. Банковская инъекция часто прячется за многошаговыми сценариями, своей кодировкой или за WAF, который само приложение обходит на внутренних вызовах. Нужен человек, который идёт за деньгами и за стенами входа до реального запроса.
Большинство находок воспроизводится на staging или UAT с тем же порталом и базой. Проверка на проде — только в согласованное окно.
Да — под NDA и подписанный объём. Проверяем только системы, которыми вы владеете или на которые есть разрешение.