9

La importancia de proteger nuestros sitios web frente ataques de inyecciones SQL es muy recomendable para mantener seguro nuestros datos. Las buenas practicas recomiendan utilizar consultas preparadas para evitar estos ataques. Pero aquí es donde voy yo, existe o conocéis algún ejemplo donde, aunque se utilicen consultas preparadas, se pueda hacer un ataque de este tipo?

Pongo de ejemplo este código:

$server = "localhost";
$user = "usuario";
$password = "password";
$dbname = "ejemplo";
// Conectar
$db = new mysqli($server, $user, $password, $dbname);
// Comprobar conexión
if($db->connect_error){
    die("La conexión ha fallado, error número " . $db->connect_errno . ": " . $db->connect_error);
}

// Preparar
$stmt = $db->prepare("INSERT INTO Clientes (nombre, ciudad, contacto) VALUES (?, ?, ?)");
$stmt->bind_param('ssi', $nombre, $ciudad, $contacto);
// Establecer parámetros y ejecutar
$nombre = "Donald Trump";
$ciudad = "Madrid";
$contacto = 4124124;
$stmt->execute();
$nombre = "Hillary Clinton";
$ciudad = "Barcelona";
$contacto = 4665767;
$stmt->execute();
// Mensaje de éxito en la inserción
echo "Se han creado las entradas exitosamente";
// Cerrar conexiones
$stmt->close();
$db->close();

Es una duda que tengo para un futuro proyecto de seguridad web, donde se aplicaran varios ataques para probar la vulnerabilidad del sitio.

Saludos.

6
  • 1
    Quizas te ayude: es.stackoverflow.com/questions/18232/…
    – Marc
    Commented el 14 mar. 2019 a las 11:39
  • 1
    Nada es 100% en esta vida. Pero en el caso que expones es prácticamente imposible que te cuelen una Inyección SQL, no hay puerta de entrada posible para un atacante con un código implementado de forma tan diáfana y segura. Saludos.
    – A. Cedano
    Commented el 14 mar. 2019 a las 12:22
  • @A.Cedano gracias por tu comentario. Dejando de lado mi ejemplo, sabrías ponerme un pequeño ejemplo de alguna consulta preparada pero que se le pueda hacer una inyección SQL. Saludos
    – DevMind
    Commented el 14 mar. 2019 a las 12:27
  • 1
    Mario, en la respuesta que traduje de un sitio en inglés para la pregunta estrella sobre Inyección SQL en SOes se exponen algunos casos de inyección aunque se use consultas preparadas. Por ejemplo, si se usa PDO hay que apagar las preparaciones emuladas, porque permitirían inyecciones en forma de sub-consultas amañadas cuando en el código se usan variables para nombres de tablas o columnas. Ese podría ser un caso típico de inyección, para prevenirlo, habría que tener una lista blanca de tablas/columnas.
    – A. Cedano
    Commented el 14 mar. 2019 a las 12:38
  • 1
    Aquí hay otro caso que depende del juego de caracteres que se esté usando. Es una situación difícil de producir, pero posible y por tanto peligrosa. Como esa, pueden haber muchas no conocidas, nada es 100% seguro. En esa pregunta hay varias respuestas interesantes que abordan el problema desde varios puntos de vista. Tu pregunta es interesante, pero se podría escribir una biblioteca y el tema nunca quedaría del todo dilucidado. Esto también arroja luz sobre el tema.
    – A. Cedano
    Commented el 14 mar. 2019 a las 12:45

2 respuestas 2

12

Como ya dije en un comentario, se podría escribir un biblioteca sobre el tema y nunca sería dilucidado al 100% dada la diversidad de escenarios posibles, de APIs que se pueden usar para conectarse, de manejadores de bases de datos, de entornos posibles...

No obstante, entiendo que la pregunta busca tener un poco de luz sobre otras medidas que se pueden observar para prevenir Inyección SQL, aparte del uso de consultas preparadas.

Como aporte, pondré algunos indicadores de OWASP, toda una autoridad en cuanto a la seguridad en general.

En SQL Injection Prevention Cheat Sheet ellos consideran un nivel de defensa primario y un nivel de defensa adicional (en el enlace hay ejemplos de código seguro según los lenguajes/manejadores) y al final una serie de enlaces si se quiere profundizar más en el tema):

Defensas primarias:

  • Opción 1: Uso de declaraciones preparadas (con consultas parametrizadas)
  • Opción 2: Uso de procedimientos almacenados
  • Opción 3: Validación de entrada de la lista blanca
  • Opción 4: Escapar todas las entradas proporcionadas por el usuario

Defensas adicionales:

  • También: Hacer cumplir el privilegio mínimo
  • También: Realización de la validación de entrada de la lista blanca como una defensa secundaria

Defensas primarias

Opción de defensa 1: Declaraciones preparadas (con consultas parametrizadas)

El uso de declaraciones preparadas con vinculación variable (también conocidas como consultas parametrizadas) es la forma en que a todos los desarrolladores se les debe enseñar primero cómo escribir consultas de base de datos. Son fáciles de escribir y más fáciles de entender que las consultas dinámicas. Las consultas parametrizadas obligan al desarrollador a definir primero todo el código SQL, y luego pasar cada parámetro a la consulta más tarde. Este estilo de codificación permite que la base de datos distinga entre código y datos, independientemente de la entrada del usuario que se proporcione.

Las declaraciones preparadas aseguran que un atacante no pueda cambiar la intención de una consulta, incluso si los comandos SQL son insertados por un atacante. En el ejemplo seguro a continuación, si un atacante ingresara el ID de usuario de tom 'o' 1 '=' 1, la consulta parametrizada no sería vulnerable y en su lugar buscaría un nombre de usuario que literalmente coincidiera con la cadena de caracteres tom 'o' 1 '=' 1.

Recomendaciones específicas de lenguaje:

  • Java EE - use PreparedStatement () con variables de enlace
  • .NET: utiliza consultas parametrizadas como SqlCommand () o OleDbCommand () con variables de enlace
  • PHP: use PDO con consultas parametrizadas fuertemente tipadas (usando bindParam ())
  • Hibernate: use createQuery () con variables de enlace (llamadas parámetros con nombre en Hibernate)
  • SQLite: use sqlite3_prepare () para crear un objeto de declaración

En raras circunstancias, las declaraciones preparadas pueden dañar el rendimiento. Cuando se enfrente a esta situación, es mejor: a) validar enérgicamente todos los datos o b) eliminar todas las entradas proporcionadas por el usuario utilizando una rutina de escape específica para su proveedor de base de datos como se describe a continuación, en lugar de utilizar una declaración preparada.

Opción de defensa 2: Procedimientos almacenados

Los procedimientos almacenados no siempre son seguros frente a la inyección de SQL. Sin embargo, ciertas construcciones de programación de procedimientos almacenados estándar tienen el mismo efecto que el uso de consultas parametrizadas cuando se implementan de manera segura, lo cual es la norma para la mayoría de los lenguajes de procedimientos almacenados.

Requieren que el desarrollador simplemente cree sentencias de SQL con parámetros que se parametrizan automáticamente a menos que el desarrollador haga algo fuera de lo normal. La diferencia entre las declaraciones preparadas y los procedimientos almacenados es que el código SQL para un procedimiento almacenado se define y almacena en la propia base de datos y luego se llama desde la aplicación. Ambas técnicas tienen la misma eficacia en la prevención de la inyección de SQL, por lo que su organización debe elegir qué enfoque es el más adecuado para usted.

Nota: 'Implementado de forma segura' significa que el procedimiento almacenado no incluye ninguna generación dinámica de SQL no segura. Los desarrolladores no suelen generar SQL dinámico dentro de los procedimientos almacenados. Sin embargo, se puede hacer, pero se debe evitar. Si no se puede evitar, el procedimiento almacenado debe usar la validación de entrada o el escape adecuado tal como se describe en este artículo para asegurarse de que no se puede usar toda la entrada proporcionada por el usuario al procedimiento almacenado para inyectar código SQL en la consulta generada dinámicamente. Los auditores siempre deben buscar usos de sp_execute, execute o exec dentro de los procedimientos almacenados de SQL Server. Guías de auditoría similares son necesarias para funciones similares para otros proveedores.

También hay varios casos en los que los procedimientos almacenados pueden aumentar el riesgo. Por ejemplo, en el servidor MS SQL, tiene 3 roles predeterminados principales: db_datareader, db_datawriter y db_owner. Antes de que los procedimientos almacenados entraran en uso, los DBA otorgarían a db_datareader o db_datawriter derechos para el usuario del servicio web, dependiendo de los requisitos. Sin embargo, los procedimientos almacenados requieren derechos de ejecución, una función que no está disponible de forma predeterminada. Algunas configuraciones en las que la administración de usuarios se ha centralizado, pero están limitadas a esos 3 roles, hacen que todas las aplicaciones web se ejecuten bajo los derechos de propietario de db para que los procedimientos almacenados puedan funcionar. Naturalmente, eso significa que si se viola un servidor, el atacante tiene todos los derechos sobre la base de datos, donde antes solo podían tener acceso de lectura.

Opción de defensa 3: Validación de entrada de la lista blanca

Varias partes de las consultas SQL no son ubicaciones legales para el uso de variables de enlace, como los nombres de tablas o columnas, y el indicador de orden de clasificación (ASC o DESC). En tales situaciones, la validación de entrada o el rediseño de consultas es la defensa más apropiada. Para los nombres de tablas o columnas, idealmente esos valores provienen del código, y no de los parámetros del usuario.

Pero si los valores de los parámetros de usuario se utilizan para diferenciarse de los nombres de tabla y columna, entonces los valores de los parámetros deben asignarse a los nombres de columna o columna legales / esperados para asegurarse de que la entrada de usuario no validada no termine en la consulta. Tenga en cuenta que este es un síntoma de diseño deficiente y se debe considerar una nueva escritura si el tiempo lo permite.

Opción de defensa 4: Escapar de todas las entradas proporcionadas por el usuario

Esta técnica solo debe usarse como último recurso, cuando no sea factible ninguno de los anteriores. La validación de entrada es probablemente una mejor opción ya que esta metodología es frágil en comparación con otras defensas y no podemos garantizar que evitará toda la inyección de SQL en todas las situaciones.

Esta técnica es para escapar de la entrada del usuario antes de ponerla en una consulta. Es una base de datos muy específica en su implementación. Por lo general, solo se recomienda actualizar el código heredado cuando la implementación de la validación de entrada no es rentable. Las aplicaciones creadas desde cero, o las aplicaciones que requieren una baja tolerancia al riesgo deben crearse o reescribirse utilizando consultas parametrizadas, procedimientos almacenados o algún tipo de Objeto Relacional Mapper (ORM) que construye sus consultas por usted.

Esta técnica funciona así. Cada DBMS admite uno o más esquemas de escape de caracteres específicos para ciertos tipos de consultas. Si luego escapa toda la entrada provista por el usuario utilizando el esquema de escape adecuado para la base de datos que está utilizando, el DBMS no confundirá esa entrada con el código SQL escrito por el desarrollador, evitando así posibles vulnerabilidades de inyección SQL.


Defensas adicionales

Además de adoptar una de las cuatro defensas principales, también recomendamos que adopte todas estas defensas adicionales para brindar una defensa en profundidad. Estas defensas adicionales son:

  • Privilegios mínimos
  • Validación de entrada de la lista blanca

Privilegios mínimos

Para minimizar el daño potencial de un ataque de inyección SQL exitoso, debe minimizar los privilegios asignados a cada cuenta de base de datos en su entorno. No asigne derechos de acceso de tipo DBA o administrador a sus cuentas de aplicación. Entendemos que esto es fácil y que todo simplemente "funciona" cuando lo haces de esta manera, pero es muy peligroso.

Comience desde cero para determinar qué derechos de acceso requieren las cuentas de su aplicación, en lugar de intentar averiguar qué derechos de acceso necesita quitar. Asegúrese de que las cuentas que solo necesitan acceso de lectura solo tengan acceso de lectura a las tablas a las que necesitan acceso.

Si una cuenta solo necesita acceder a partes de una tabla, considere crear una vista que limite el acceso a esa parte de los datos y asigne el acceso de la cuenta a la vista en lugar de a la tabla subyacente. En raras ocasiones, si alguna vez, otorga crear o eliminar el acceso a las cuentas de la base de datos.

Si adopta una política en la que utiliza procedimientos almacenados en todas partes y no permite que las cuentas de la aplicación ejecuten directamente sus propias consultas, entonces restrinja esas cuentas para que solo puedan ejecutar los procedimientos almacenados que necesitan. No les conceda ningún derecho directamente a las tablas en la base de datos.

La inyección SQL no es la única amenaza para los datos de su base de datos. Los atacantes pueden simplemente cambiar los valores de los parámetros de uno de los valores legales con los que se presentan, a un valor que no está autorizado para ellos, pero la aplicación en sí podría estar autorizada para acceder. Como tal, minimizar los privilegios otorgados a su aplicación reducirá la probabilidad de tales intentos de acceso no autorizados, incluso cuando un atacante no esté tratando de usar la inyección de SQL como parte de su vulnerabilidad.

Mientras está en ello, debe minimizar los privilegios de la cuenta del sistema operativo bajo la cual se ejecuta el DBMS. ¡No ejecute su DBMS como root o sistema! La mayoría de los DBMS se agotan con una cuenta de sistema muy potente. Por ejemplo, MySQL se ejecuta como sistema en Windows por defecto! Cambie la cuenta del sistema operativo de DBMS a algo más apropiado, con privilegios restringidos.

Usuarios de múltiples bases de datos

El diseñador de aplicaciones web no solo debe evitar el uso de la misma cuenta de propietario / administrador en las aplicaciones web para conectarse a la base de datos. Diferentes usuarios de DB podrían ser utilizados para diferentes aplicaciones web.

En general, cada aplicación web independiente que requiere acceso a la base de datos podría tener una cuenta de usuario de base de datos designada que la aplicación web utilizará para conectarse a la base de datos. De esa manera, el diseñador de la aplicación puede tener una buena granularidad en el control de acceso, lo que reduce los privilegios tanto como sea posible. Cada usuario de la base de datos tendrá acceso selecto a lo que necesita únicamente y acceso de escritura según sea necesario.

Como ejemplo, una página de inicio de sesión requiere acceso de lectura a los campos de nombre de usuario y contraseña de una tabla, pero no tiene acceso de escritura de ninguna forma (no insertar, actualizar o eliminar). Sin embargo, la página de registro ciertamente requiere un privilegio de inserción en esa tabla; esta restricción solo se puede aplicar si estas aplicaciones web utilizan diferentes usuarios de base de datos para conectarse a la base de datos.

Vistas

Puede usar vistas SQL para aumentar aún más la granularidad del acceso al limitar el acceso de lectura a campos específicos de una tabla o uniones de tablas. Potencialmente podría tener beneficios adicionales: por ejemplo, suponga que se requiere el sistema (quizás debido a algunos requisitos legales específicos) para almacenar las contraseñas de los usuarios, en lugar de las contraseñas con sal.

El diseñador podría usar vistas para compensar esta limitación; revoque todos los accesos a la tabla (de todos los usuarios de la base de datos excepto el propietario / administrador) y cree una vista que genere el hash del campo de contraseña y no el campo en sí. Cualquier ataque de inyección SQL que logre robar información de la base de datos se limitará a robar el hash de las contraseñas (incluso podría ser una clave hash), ya que ningún usuario de la base de datos para ninguna de las aplicaciones web tiene acceso a la tabla en sí.

Validación de entrada de la lista blanca

Además de ser una defensa primaria cuando nada más es posible (por ejemplo, cuando una variable de enlace no es legal), la validación de entrada también puede ser una defensa secundaria utilizada para detectar entradas no autorizadas antes de pasar a la consulta SQL. Para obtener más información, consulte la hoja de referencia de validación de entrada. Proceda con precaución aquí. Los datos validados no son necesariamente seguros para insertar en consultas SQL a través de la construcción de cadenas.

1
  • Magnifica respuesta!!. Muchas gracias por tu esfuerzo, se valora mucho.
    – DevMind
    Commented el 14 mar. 2019 a las 14:03
6

¿Respuesta corta? No,no existe. ¿Respuesta larga? Nada es 100% seguro; El utilizar las sentencias preparadas prácticamente garantiza el evitar las inyecciones sql, sin embargo en manuales como CheatSheetSeries se nombran varias defensas "principales" más y un par de defensas adicionales, lo que demuestra que no siempre basta con los prepared statemnts.

Existe un debate sobre este tema en https://security.stackexchange.com/questions/15214/are-prepared-statements-100-safe-against-sql-injection que da algunos ejemplos con casuísticas concretas que permiten ataques de este tipo.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.