Page 1 - Ataques de SQL Injection

Laboratorio de Ciberseguridad
Ataques de SQL Injection
Dr. Miguel A. Rojas – mrojas@ude.edu.uy
A/S Diego Nogueira – dnogueira@ude.edu.uy
Los principios de desarrollo de software
seguro junto con las metodologías de
desarrollo seguro en el ciclo de vida del
software, en ingles Secure-Software
Development Life Cycle (S-SDLC),
tienen como objetivo brindar un
conjunto de técnicas y mejores prácticas
que deben ser incluidas en las etapas
tempranas del ciclo de vida de desarrollo
de software con la finalidad de disminuir
las vulnerabilidades del software y en
definitiva crear software potencialmente
más seguro.
Hoy desarrollaremos una vulnerabilidad
conocida como SQL Injection o
Inyección SQL (SQLi). Kaspersky Labs
lo define como: “Una inyección de SQL,
a veces abreviada como SQLi, es un tipo
de vulnerabilidad en la que un atacante
usa un trozo de código SQL (lenguaje de
consulta estructurado) para manipular
una base de datos y acceder a información
potencialmente valiosa.” (kaspersky,
2024)
La inyección SQL representa una de las
amenazas más significativas para la
seguridad de las aplicaciones web que
interactúan con bases de datos. Este
documento explora la naturaleza de los
ataques de inyección SQL, sus potenciales
impactos en los sistemas de información,
y las estrategias recomendadas para
prevenir y mitigar estos ataques.
“Un ataque de inyección SQL consiste en
la inserción o ´inyección´ de una consulta
SQL a través de los datos de entrada del
cliente a la aplicación. Un exploit de
inyección SQL exitoso puede leer datos
confidenciales de la base de datos,
modificar datos de la base de datos
(Insertar/Actualizar/Eliminar), ejecutar
operaciones de administración en la base
de datos (como apagar el DBMS),
recuperar el contenido de un archivo
determinado presente en el sistema de
archivos del DBMS y en algunos casos
emitir comandos al sistema operativo.”.
(OWASP, 2024)
Un tipo de ataque de inyección SQL
(pero no el único) ocurre cuando: Un
dato no deseado ingresa a un programa
desde una fuente no confiable o los datos
se utilizan para construir dinámicamente
una consulta SQL.
A modo de ejemplo, Supongamos que
tenemos una aplicación web con un
formulario de inicio de sesión que solicita
un nombre de usuario y una contraseña.
El código en el cliente podría estar
construido de la siguiente manera:
<form action="login.php" method="post">
Usuario: <input type="text" id="usuario"
name="usuario" required>
<br>
Contraseña: <input type="password"
id="pass" name="pass" required>
<br>
<button type="submit">Login</button>
</form>
Ahora, del lado del servidor, en PHP, se
vería así:
$user = $_POST[usuario];
$pass = $_POST['pass];
$stmt = $conn->prepare("SELECT * FROM usuarios
WHERE usuario = :usuario AND pass = :pass");
$stmt->execute();
Si el usuario introduce admin como
usuario y pass123 como contraseña, la
consulta SQL generada dinámicamente se
vería así: SELECT * FROM usuarios
WHERE usuario = 'admin' AND pass =
'pass123';