Diferencia entre revisiones de «Inyección SQL»
Contenido eliminado Contenido añadido
m Revertidos los cambios de 190.246.104.131 a la última edición de SieBot |
|||
Línea 1:
'''Inyección SQL''' es una [[vulnerabilidad informática]] en el nivel de la validación de las entradas a la [[base de datos]] de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las partes del programa con código SQL. Es, de hecho, un error de una clase más general de vulnerabilidades que puede ocurrir en cualquier [[lenguaje de programación]] o de [[lenguaje interpretado| script]] que esté incrustado dentro de otro.
==Descripción==
Una inyección SQL sucede cuando se inserta o "inyecta" un código [[SQL]] "invasor" dentro de otro código [[SQL]] para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código "invasor" en la [[base de datos]].
La inyección SQL es un problema de [[seguridad informática]] que debe ser tomado en cuenta por el [[programador]] para prevenirlo. Un [[Programa informático|programa]] hecho con descuido, displicencia, o con ignorancia sobre el problema, podrá ser vulnerable y la seguridad del sistema puede quedar ciertamente comprometida. Esto puede suceder tanto en programas ejecutándose en [[Computadora|computadores]] de escritorio, como en [[Página web|páginas Web]], ya que éstas pueden funcionar mediante programas ejecutándose en el [[Servidor informático|servidor]] que las aloja.
La vulnerabilidad puede ocurrir cuando un [[Programa informático|programa]] "arma" descuidadamente una [[SQL#Ejemplos de consultas SQL|sentencia SQL]], con parámetros dados por el usuario, para luego hacer una consulta a una [[base de datos]]. Dentro de los parámetros dados por el usuario podría venir el código [[SQL]] inyectado.
Al ejecutarse esa consulta por la [[base de datos]], el código [[SQL]] inyectado también se ejecutará y podría hacer un sinnúmero de cosas, como insertar registros, modificar o eliminar datos, autorizar accesos e, incluso, ejecutar código malicioso en el computador.
Asumiendo que el siguiente código está en una [[aplicación web]] y que existe un parámetro "nombreUsuario" que contiene el nombre de usuario que nosotros le demos, la inyección SQL es posible:
consulta := "<Font Color="#008000">SELECT * FROM usuarios WHERE nombre = '</Font>" + <Font Color="#0000FF">nombreUsuario</Font> + "<Font Color="#008000">';</Font>"
Si el usuario escribe su nombre, digamos "Alicia", nada anormal sucedería, la aplicación generaría una sentencia SQL similar a la siguiente, que es perfectamente correcta, en donde se seleccionaría al usuario "Alicia":
<Font Color="#008000">SELECT * FROM usuarios WHERE nombre = '<Font Color="#0000FF">Alicia</Font>';</Font>
Pero si un usuario malintencionado escribe como nombre de usuario: <br/>"<code><Font Color="#0000FF">Alicia</Font><Font Color="#FF0000">'; DROP TABLE usuarios; SELECT * FROM datos WHERE '-' = '-</Font></code>", se generaría la siguiente consulta SQL, (el color verde es lo que pretende el programador, el azul es el dato, y el rojo, el código SQL inyectado):
<Font Color="#008000">SELECT * FROM usuarios WHERE nombre = '</Font><Font Color="#0000FF">Alicia</Font><Font Color="#FF0000">';
DROP TABLE usuarios;
SELECT * FROM datos WHERE '-' = '-</Font><Font Color="#008000">';</Font>
La base de datos ejecutaría la consulta en orden, seleccionaría el usuario 'Alicia', borraría la tabla 'usuarios' y seleccionaría datos que quizá no están disponibles para los usuarios web comunes. En resumen, cualquier dato de la base de datos está disponible para ser leído o modificado por un usuario malintencionado.
Nótese por qué se llama "'''Inyección'''" SQL. Si observamos el código malicioso, de color rojo, vemos que está en el medio del código bueno, el verde. El código rojo ha sido "'''inyectado'''" dentro del verde.
== Ejemplos==
| |||