SQL注入攻击通常发生在表单或URL参数中，攻击者通过这些位置注入恶意SQL语句。