1

¿Cómo puedo restringir los privilegios que tiene un usuario para evitar posibles inyecciones sql?

2
  • 1
    No sirve de mucho. Como mínimo un usuario deberá tener privilegios para consultas del tipo SELECT ¿no? Pues hay Inyección SQL del tipo SELECT en las que un hacker podría obtener el nombre de usuario administrador y su contraseña y acceder a la base de datos. Además, la Inyección SQL puede llegar a modificar archivos del sistema... No es que esté mal tu idea, pero servirá de poco si no usas consultas preparadas.
    – A. Cedano
    Commented el 1 nov. 2019 a las 17:19
  • 1
    En MySQL la consulta para otorgar privilegios es algo así: GRANT SELECT ON db2.invoice TO 'jeffrey'@'localhost'; ahí se le da un privilegio SELECT a Jeffrey en la tabla invoice. Revisa el MR de MySQL donde viene todo explicado. Pero repito, no creas que con hacer eso estás protegido contra Inyección SQL.
    – A. Cedano
    Commented el 1 nov. 2019 a las 17:22

1 respuesta 1

7

En MySQL usa GRANT para otorgar privilegios a los usuarios sobre las bases de datos y/o las tablas.

Por ejemplo:

GRANT SELECT ON db2.invoice TO 'jeffrey'@'localhost'; 

Otorga privilegio SELECT a jeffrey en la tabla invoice de la base de datos db2

Toda la explicación sobre los privilegios se encuentra en el Manual de Referencia de MySQL.

No es que esté mal tu idea, y si un usuario no debe tener acceso a borrar o a insertar debes prohibirle ese acceso. El problema es que una Inyección SQL puede ocurrir desde cualquier consulta que se logre ejecutar en la base de datos. Sólo por poner un ejemplo, imaginemos que otorgas un privilegio mínimo al usuario, que sería SELECT. Una inyección SQL podría consistir en lanzar un SELECT sobre la tabla de usuarios, donde un usuario mal intencionado podría obtener los nombres y contraseñas de usuarios de la base de datos o de otras áreas de la aplicación, o cualquier otro tipo de dato sensible.

Además, la inyección SQL no se limita sólo a la base de datos, sino que puede llegar a afectar incluso archivos del sistema, como se indica en las respuestas a la pregunta: ¿La Inyección SQL actúa sólo a nivel de la base de datos o el riesgo es aún mayor?

Por lo tanto, la protección eficaz contra inyección SQL es usar consultas preparadas y otras técnicas ya explicadas en otras respuestas, como configuración adecuada de la conexión a la base de datos, listas blancas de tablas/columnas, etc.

1
  • Como anexo, diría que si se puede obtener las contraseñas mediante un SELECT, hay problemas graves además de la inyección de SQL. Commented el 1 nov. 2019 a las 19:06

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.