Page 2 - Ataques de SQL Injection

Laboratorio de Ciberseguridad
Hasta aquí todo está bien. Sin embargo,
un atacante podría intentar introducir
algo malicioso en los campos del
formulario. Por ejemplo, si el atacante
introduce ' OR '1'='1 como contraseña y
cualquier cosa como usuario (porque no
importará), la consulta SQL se vería así:
SELECT * FROM usuarios WHERE
usuario = 'cualquier_texto' AND pass
= 'cualquier_contraseña' OR '1'='1';
Según los conceptos de lógica
proposicional, al evaluar la expresión
lógica en la cláusula WHERE, esta
expresión siempre será verdadera porque
'1'='1' siempre es verdadero. Como
resultado, el atacante podría acceder al
sistema sin necesidad de proporcionar
credenciales válidas.
A nivel usuario es poco lo que se puede
hacer para protegernos de este tipo de
amenazas, puesto que los atacantes
explotan facetas no protegidas del
software.
Como desarrolladores, según Microsoft,
una de las tareas a nivel de código que
debemos hacer es Validar todos los datos
especificados por el usuario (Microsoft,
2024)
Existen distintas estrategias que pueden
aplicarse en el desarrollo de sistemas
cuando se debe acceder a bases de datos,
donde la mayoría de ellas dependen
exclusivamente del desarrollador.
Un desarrollador que aplica técnicas de
desarrollo seguro sabe que debe validar
los datos ingresados por el usuario, esta es
una de las primeras líneas de defensa que
existen sobre los ataques por inyección
SQL. Nunca se debe confiar en los datos
ingresados por el usuario, por lo que, la
validación y el chequeo es una tarea
imprescindible.
El segundo punto importante es
considerar el entorno de producción. Los
programas se diseñan considerando un
entorno seguro, pero en muchas
ocasiones también pueden ejecutarse en
entornos inseguros.
El tercer criterio se relaciona con el nivel
de confianza, como desarrolladores solo
podemos garantizar y confiar en el
sistema desarrollado por nosotros, por lo
que todo lo que provenga desde fuera de
nuestro sistema es considerado
sospechoso, esto incluye usuarios o
sistemas con los que interactuamos.
Es importante evaluar el riesgo al que se
ve expuesto nuestro sistema, cuanto
mayor es la superficie expuesta, existe un
mayor riesgo a recibir un ataque.
Otro factor a considerar es el objetivo y
sector en donde se desempeña el sistema,
para los atacantes es más interesante un
sistema que potencialmente pueda ser
monetizable o con información relevante,
que el sistema de un pequeño negocio
que, a modo de ejemplo, solo registra el
corte de pelo de un cliente.
Las pruebas técnicas y los test de
seguridad son un factor fundamental a la
hora de detectar vulnerabilidades y/o
problemas de seguridad. Detectar
problemas en una etapa de desarrollo
permite actuar proactivamente y reducir
significativamente los potenciales
problemas y costos asociados.
Bibliografía
kaspersky. (06 de 06 de 2024). ¿Qué es la
inyección de SQL? Definición y explicación.
Obtenido de
https://latam.kaspersky.com/resource-
center/definitions/sql-injection
Microsoft. (06 de 06 de 2024). Inyección de
código SQL. Obtenido de
https://learn.microsoft.com/es-
es/sql/relational-databases/security/sql-
injection?view=sql-server-ver16
OWASP. (06 de 06 de 2024). Inyección
SQL. Obtenido de
https://owasp.org/www-
community/attacks/SQL_Injection