Ataques de inyección SQL: qué son y cómo protegerse

Ataques de
inyección SQL:
qué son y cómo
protegerse

La mayoría de las aplicaciones web desarrolladas hoy en día hacen uso de
una base de datos para ofrecer páginas dinámicas y almacenar información
tanto de los usuarios como de la propia herramienta, datos a los que se
accede por medio del lenguaje SQL, un lenguaje para interaccionar con
bases de datos relacionales.
El uso de este tipo de lenguaje ha traído consigo la aparición de una de las
vulnerabilidades más peligrosas a la que nos podemos enfrentar. Nos
estamos refiriendo al ataque por inyección de código SQL, una
vulnerabilidad que no sólo pone en riesgo la integridad de la aplicación, sino
de todos los datos almacenados de los usuarios que la utilicen, y que se
produce cuando no se filtra de forma correcta la información enviada por los
usuarios.
A continuación, Supra te presentará todo lo que debes saber sobre los
ataques de inyección SQL, desde su definición hasta métodos de
protección.

¿Qué es el ataque por inyección SQL?
Consiste en la inserción de código SQL por medio de los datos de entrada
desde la parte del cliente hacia la aplicación. Es decir, por medio de la inserción
de este código el atacante puede modificar las consultas originales que debe
realizar la aplicación y ejecutar otras totalmente distintas con la intención de
acceder a la herramienta, obtener información de alguna de las tablas o borrar
los datos almacenados, entre otras muchas cosas.

Dentro de este tipo de ataques, nos podemos encontrar el denominado“Blind
SQL Injection”, traducido al español como “Ataque a ciegas por inyección de
SQL”, que se da cuando en una página web no aparece ningún mensaje de
error al ejecutar una sentencia SQL errónea, por lo que el atacante va
realizando pruebas hasta dar con el nombre de los campos o tablas sobre los
que poder actuar.
Entre las bases de datos susceptibles a este tipo de ataques nos encontramos
MySQL, Oracle, Postgres o MS SQL.

Consecuencias de la inyección SQL
● Omisión de autenticación: Si la forma de autenticación de la
aplicación es vulnerable a la inyección de SQL, el usuario puede
iniciar sesión en la aplicación sin proporcionar las credenciales
adecuadas.
● Obtener acceso a datos no autorizados: A través de la inyección de
SQL, un usuario puede obtener acceso a datos que solo personal
autorizado debería.
● Manipulación de datos no autorizada: La inyección de SQLtambién
puede permitir que un usuario de la aplicación inserte, modifique o
elimine datos que no esté autorizado. Esto hace que la integridad de
los datos se vea comprometida.

● Obtenga privilegios administrativos: la inyección de SQLpodría permitir a
un atacante o un usuario malintencionado obtener privilegios
administrativos en la base de datos o en el servidor de la base de datos y,
en última instancia, realizar acciones como cerrar la base de datos. Esto
afecta su disponibilidad y, en consecuencia, la falta de disponibilidad de la
aplicación.

Medidas a tomar para protegerse de las inyecciones
SQL
Veamos a continuación algunos consejos para evitar sufrir el ataque por
inyección de código SQL en nuestros desarrollos:

a) Escapar los caracteres especiales utilizados en las consultas
SQL
Al hablar de “escapar caracteres” estamos haciendo referencia a añadir la
barra invertida “” delante de las cadenas utilizadas en las consultas SQL
para evitar que estas corrompan la consulta. Algunos de estos caracteres
especiales que es aconsejable escapar son las comillas dobles (“), las
comillas simples (‘) o los caracteres x00 o x1a ya que son considerados
como peligrosos pues pueden ser utilizados durante los ataques.

b) Delimitar los valores de las consultas para mitigar ataques de
inyección SQL
Aunque el valor de la consulta sea un entero, es aconsejable delimitarlo
siempre entre comillas simples. Una instrucción SQL del tipo:
SELECT nombre FROM usuarios WHERE id_user = $id
Será mucho más fácilmente inyectable que:
SELECT nombre FROM usuarios WHERE id_user = ‘$id’
Donde $id es un número entero.

c) Verificar siempre los datos que introduce el usuario
Si en una consulta estamos a la espera de recibir un entero, no confiemos en
que sea así, sino que es aconsejable tomar medidas de seguridad y realizar la
comprobación de que realmente se trata del tipo de dato que estamos
esperando. Para realizar esto, los lenguajes de programación ofrecen
funciones que realizan esta acción, como pueden ser ctype_digit () para saber
si es un número o ctype_alpha () para saber si se trata de una cadena de
texto en el caso del lenguaje PHP.

d) Asignar mínimos privilegios al usuario que conectará con la
base de datos
El usuario que utilicemos para conectarnos a la base de datos desde nuestro
código debe tener los privilegios justos para realizar las acciones que
necesitemos. No utilizar nunca un usuario root con acceso a todas las bases
de datos ya que de esta forma estaremos dando facilidades a los hackers
para que puedan acceder a toda la información.

e) Programar bien para evitar ataques de inyección SQL
Aunque pueda parecer una tontería, no hay mejor medida para evitar este tipo
de ataques que realizar una buena programación, poniendo en práctica las
necesidades básicas y el interés para desarrollar una aplicación totalmente
segura.
Ahora que ya sabes cómo es que funciona un ataque de inyección SQL y
como minimizar este tipo de ataques con buenas prácticas a nivel de
programación, es importante recalcar que también incorporar equipos de
seguridad perimetral como por ejemplo un Firewall ayudaría a mitigar este tipo
de ataques, en el siguiente video se muestra como un ataque SQL inyección
es mitigado por un Fortiweb ( equipo perimetral de la familia Fortinet ).

SUPRA maximiza la seguridad de redes para que tus comunicaciones de
datos e incrementa la productividad de tu red interna a través de productos
Fortinet. Si deseas más información sobre soluciones Fortinet, nuestros
productos y servicios puedes contactarnos a través del formulario de contacto
y con gusto te responderemos a la brevedad.
Enlace:
https://www.supra.com.pe/blog/ataques-de-inyeccion-sql-que-son-y-como-protegers
e/

Ataques de inyección SQL: qué son y cómo protegerse

Ataques de inyección SQL: qué son y cómo protegerse

Más contenido relacionado

La actualidad más candente (20)

Similar a Ataques de inyección SQL: qué son y cómo protegerse (20)

Más de Supra Networks (20)

Último (20)

Ataques de inyección SQL: qué son y cómo protegerse