4

Si tengo un url: http://ejemplo.com?usuario=1234

es posible de protegerme igual que si lo mando por metodo post o tienen los ataquantes más probabilidades entrar a mi base de datos?

Lo que queria saber es si al pasar los parametros por la URL es más debil a una ataque inyeccion sql. No se como explicar esto de otra manera o mejor.

3 respuestas 3

7

La seguridad de tu aplicación no depende en absoluto de que los datos viajen con un GET o un POST. Creer que POST es más seguro es un error común, pero que no tiene ningún tipo de fundamento ya que los datos viajan de la misma forma. De hecho, algunos lenguajes de programación orientados a web te ofrecen los parámetros de la misma forma, independientemente de que lleguen por G

La protección contra inyecciones SQL debes proporcionarla tú para los parámetros que recibas, independientemente de que los hayas recibido por un método u otro. Lógicamente, no me refiero a que la implementes tú, sino a que investigues qué herramientas provee el lenguaje que estés usando para prevenir este tipo de ataques.

0
4

En verdad, lo mejor es preguntarse primero que es realmente una inyección SQL, es decir, es explotar una consulta con formato incorrecto.

El origen del problema de la inyección SQL es la mezcla del código y los datos. De hecho, nuestra consulta SQL es un programa. Un programa legítimo y completa, al igual que nuestros scripts PHP familiares. Y así sucede que estamos creando esta aplicación de forma dinámica, agregando algunos datos sobre su marcha. Por lo tanto, estos datos pueden interferir con nuestro código y alterarlo. Tal alteración sería la propia inyección.

Esto solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable.

Veamos un ejemplo canónico:

$nombre = 'Foo'; 
$sentencia = "SELECT * FROM usuario WHERE nombre='$nombre'";

Que se compila en secuencia maliciosa.

SELECT * FROM usuario WHERE nombre='Foo';

¿Lo llaman inyección? Incorrecto. Es un formateado inapropiada de una cadena literal.

Mientras se formatea correctamente, no dañará a nadie:

SELECT * FROM usuario WHERE nombre='Foo\';

Vamos a tomar otro ejemplo canónico,

$id    = "1";
$id    = mysqli_real_escape_string($conexion, $id);
$query = "SELECT * FROM usuario where id = $id";

Con resultado menos dañino:

SELECT * FROM usuario WHERE id =1;

¿Llámelo inyección de nuevo? Una vez más mal. Se trata de un literal numérico con formato incorrecto. Ya que se trate de un formato adecuado, una honesta

SELECT * FROM users where id = 1;

La declaración sería positivamente inofensivo.

Por otra parte, Todo EL peligro está viniendo de la declaración de la misma pregunta: los millones de usuarios de PHP todavía creen que el propósito muy conocido de la función de mysql_real_escape_string() es "para proteger el SQL contra inyecciones" (escapando algunos "caracteres peligrosos" de manera ficticia). ¡Si supieran el verdadero propósito de esta función honesta, no habría inyecciones en el mundo! Si sólo formatearan sus consultas, en lugar de "protegerlas", habrían tenido una protección real como resultado.


¿Cuáles son las reglas de formato?

La verdad es que las reglas de formato no son tan fáciles y no se pueden expresar en un solo imperativo. Para MySQL sería:

1. Cadenas

  • Tienen que ser agregados vía la sentencia preparada nativa o tienen que estar entre comillas los caracteres especiales y tienen que ser escapados.
  • La codificación correcta del cliente debe o puede estar codificado en Hexadecimal.

2. Números

  • Han de añadirse a través de declaración preparada nativa o debe cumplir el formato para contener sólo números, un delimitador decimal y un signo.

3. Identificadores

  • Tienen que ser encerrado entre comillas sencillas.
  • Caracteres especiales (francamente - los acentos abiertos muy delimitadoras) tienen que ser escapados.

4. Operadores y palabras clave

  • No hay reglas especiales de formato para las palabras clave y los operadores, además de que tienen que ser operadores legítimos de SQL y palabras clave. Así pues, tienen que ser en la lista blanca.

Como se puede ver, hay cuatro diferentes conjuntos de reglas, no sólo una única instrucción.


Declaraciones preparadas

La idea de una sentencia preparada nativa es inteligente y simple: la consulta y los datos se envían al servidor separados entre sí, y por lo tanto no hay posibilidad de que interfieran. Lo que hace imposible la inyección. Pero al mismo tiempo, la implementación nativa tiene sus limitaciones, ya que sólo soporta dos tipos de literales (cadenas y números, a saber) que los hace insuficientes e inseguros para el uso de la vida real.

Y aquí llegamos al punto principal: la idea general de crear una consulta SQL fuera de la parte constante y los marcadores de posición, que se sustituirá con datos reales, que se formatearán automáticamente es de hecho un Santo Grial que estábamos buscando.

El principal y más esencial beneficio de las declaraciones preparadas es la eliminación de todos los peligros del formato manual:

  • Declaración preparada hace el formateo completo. ¡Todo ello sin la intervención del programador!
  • Declaración preparada que hace el formato adecuado (siempre y cuando estamos de unión a nuestros datos utilizando el tipo adecuado).
  • Las declaración preparadas hace el formateo invunerable.
  • Declaración preparada tiene el formato en el único lugar adecuado - justo antes de la ejecución de la consulta.

Es por esto que el formato manual está tan despreciado en la actualidad y declaraciones preparadas son tan honrado.

Podrán leer el artículo por completo, con ejemplos prácticos:

También te deja como referencia, la diferencia entre método POST y GET.

0
1

Siempre te puedes proteger,lo suyo seria controlar la variable, por ejemplo controlar su longitud y si solo se esperan letras, controlar que así sea. También es importante:

  1. Escapar los caracteres especiales utilizados en las consultas SQL mediante mysql_real_scape_string().

  2. Delimitar los valores de las consultas cerrando el string con comillas simples.

  3. Verificar siempre los datos que introduce el usuario controlando la longitud y que sea realmente un string.

  4. Asignar mínimos privilegios al usuario que conectará con la base de datos.

Aún así yo te recomendaría el uso de PDO o MySQLi, ya que se encuentran preparadas para evitar la inyección de SQL :

Using PDO (for any supported database driver):
$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
$stmt->execute(array('name' => $name));

foreach ($stmt as $row) {
  // do something with $row
}

2.Using MySQLi (for MySQL):

$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name=  ?');
$stmt->bind_param('s', $name);
$stmt->execute();
$result = $stmt->get_result();
while ($row = $result->fetch_assoc()) {
// do something with $row
}

Utilice instrucciones preparadas y consultas parametrizadas. Estas son sentencias SQL que son enviadas y analizadas por el servidor de base de datos separadamente de cualquier parámetro. De esta manera es imposible para un atacante inyectar SQL malicioso.

1
  • 1
    Deberías dejar la respuesta totalmente traducida. Commented el 26 nov. 2016 a las 15:15

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.