En verdad, lo mejor es preguntarse primero que es realmente una inyección SQL
, es decir, es explotar una consulta con formato incorrecto.
El origen del problema de la inyección SQL
es la mezcla del código y los datos. De hecho, nuestra consulta SQL
es un programa. Un programa legítimo y completa, al igual que nuestros scripts PHP
familiares. Y así sucede que estamos creando esta aplicación de forma dinámica, agregando algunos datos sobre su marcha. Por lo tanto, estos datos pueden interferir con nuestro código y alterarlo. Tal alteración sería la propia inyección
.
Esto solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable.
Veamos un ejemplo canónico:
$nombre = 'Foo';
$sentencia = "SELECT * FROM usuario WHERE nombre='$nombre'";
Que se compila en secuencia maliciosa.
SELECT * FROM usuario WHERE nombre='Foo';
¿Lo llaman inyección
? Incorrecto. Es un formateado inapropiada de una cadena literal.
Mientras se formatea correctamente, no dañará a nadie:
SELECT * FROM usuario WHERE nombre='Foo\';
Vamos a tomar otro ejemplo canónico,
$id = "1";
$id = mysqli_real_escape_string($conexion, $id);
$query = "SELECT * FROM usuario where id = $id";
Con resultado menos dañino:
SELECT * FROM usuario WHERE id =1;
¿Llámelo inyección
de nuevo? Una vez más mal. Se trata de un literal numérico con formato incorrecto. Ya que se trate de un formato adecuado, una honesta
SELECT * FROM users where id = 1;
La declaración sería positivamente inofensivo.
Por otra parte, Todo EL peligro está viniendo de la declaración de la misma pregunta: los millones de usuarios de PHP todavía creen que el propósito muy conocido de la función de mysql_real_escape_string() es "para proteger el SQL contra inyecciones" (escapando algunos "caracteres peligrosos" de manera ficticia). ¡Si supieran el verdadero propósito de esta función honesta, no habría inyecciones en el mundo! Si sólo formatearan sus consultas, en lugar de "protegerlas", habrían tenido una protección real como resultado.
¿Cuáles son las reglas de formato?
La verdad es que las reglas de formato no son tan fáciles y no se pueden expresar en un solo imperativo.
Para MySQL sería:
1. Cadenas
- Tienen que ser agregados vía la sentencia preparada nativa o tienen que estar entre comillas los caracteres especiales y tienen que ser escapados.
- La codificación correcta del cliente debe o puede estar codificado en Hexadecimal.
2. Números
- Han de añadirse a través de declaración preparada nativa o debe
cumplir el formato para contener sólo números, un delimitador decimal
y un signo.
3. Identificadores
- Tienen que ser encerrado entre comillas sencillas.
- Caracteres especiales (francamente - los acentos abiertos muy delimitadoras) tienen que ser escapados.
4. Operadores y palabras clave
- No hay reglas especiales de formato para las palabras clave y los
operadores, además de que tienen que ser operadores legítimos de SQL
y palabras clave. Así pues, tienen que ser en la lista blanca.
Como se puede ver, hay cuatro diferentes conjuntos de reglas, no sólo una única instrucción.
Declaraciones preparadas
La idea de una sentencia preparada
nativa es inteligente y simple: la consulta y los datos se envían al servidor separados entre sí, y por lo tanto no hay posibilidad de que interfieran. Lo que hace imposible la inyección
. Pero al mismo tiempo, la implementación nativa tiene sus limitaciones, ya que sólo soporta dos tipos de literales (cadenas y números, a saber) que los hace insuficientes e inseguros para el uso de la vida real.
Y aquí llegamos al punto principal: la idea general de crear una consulta SQL
fuera de la parte constante y los marcadores de posición, que se sustituirá con datos reales, que se formatearán automáticamente es de hecho un Santo Grial que estábamos buscando.
El principal y más esencial beneficio de las declaraciones preparadas
es la eliminación de todos los peligros del formato manual:
- Declaración preparada hace el formateo completo. ¡Todo ello sin
la intervención del programador!
- Declaración preparada que hace el formato adecuado (siempre y cuando
estamos de unión a nuestros datos utilizando el tipo adecuado).
- Las declaración preparadas hace el formateo invunerable.
- Declaración preparada tiene el formato en el único lugar adecuado -
justo antes de la ejecución de la consulta.
Es por esto que el formato manual está tan despreciado en la actualidad y declaraciones preparadas son tan honrado.
Podrán leer el artículo por completo, con ejemplos prácticos:
También te deja como referencia, la diferencia entre método POST
y GET
.