0

estaba leyendo en internet sobre inyecciones sql con el fin de hacer mi proyecto mas seguro, me encontre con muchos foros diciendo que cuando se usan las consultas raw() se crean vulnerabilidades para las inyecciones sql, por ejemplo tengo esta consulta en mi proyecto:

->when($isStartDate && $end_date, function ($query) use($start_date, $end_date){
            $query->whereBetween(DB::raw('DATE(orders.created_at)'),[$start_date,$end_date]);
        },function ($query) {
            return $query
                        ->whereYear('orders.created_at','=',date("Y"))
                        ->whereMonth('orders.created_at','=',date("m"));
        })
  • La uso para filtrar el contenido de la consulta principal atraves de 2 fechas. Porque seria vulnerable?
  • En muchos sitios mencionan "DB::getPdo()->quote" para contrarrestar esta vulnerabilidad, pero en ninguna sale algun ejemplo, como se usa esto?
5
  • Porque a travez de una inyeccion SQL se puede obtener datos de X a Y fecha, digamos que tu sistema es un sistema de gestion de ventas, no querras dejar una puerta abierta para que un atacante sepa que pasa por tu sistema de X a Y fecha. Lo que te recomiendo es que uses eloquent sobre queries raw, te ahorras los problemas de seguridad y el codigo es mas legible
    – Ivandez
    Commented el 9 oct. 2021 a las 14:41
  • @Ivandez y si se utiliza para hacer acciones especificas que no utilizen ningun parametro dado por el usuario? por ejemplo para sumar 2 datos de la bd?
    – Mrnew
    Commented el 9 oct. 2021 a las 17:53
  • Modelo::find(ID)->sum('precio'); me atreveria a decir que eloquent cubre casi cualquier necesidad que tengas.
    – Ivandez
    Commented el 10 oct. 2021 a las 18:07
  • No hay ninguna vulnerabilidad ahí. Las funciones RAW no son inseguras de por sí. La gente las vuelve inseguras cuando hace interpolación manual y tú no estás haciendo tal cosa
    – ffflabs
    Commented el 31 oct. 2021 a las 19:58
  • @ffflabs, podrias poner un ejemplo de interpolacion manual?, no he podido encontrar ejemplos, gracias por tu respuesta
    – Mrnew
    Commented el 31 oct. 2021 a las 21:46

1 respuesta 1

3

Cuando interactúas con la BBDD sin un ORM de por medio, (digamos que usando el conector PDO) podrías verificar el login con algo como

 $login = $_POST['login'];
 $password = $_POST['password'];
 $user =  $pdo->query("SELECT * FROM user WHERE login='$login' AND password='$password'");

Por lo tanto si alguien manda el login bobby'; DROP TABLE user; -- ejecutarás

 SELECT * FROM user WHERE login='bobby'; DROP TABLE user; -- etc etc

Eso es una inyección SQL y no se soluciona escapando las comillas, sino usando sentencias preparadas.

En Eloquent es difícil dispararse en el pie de esa manera, pero a menudo es necesario usar funciones RAW para casos de uso ligeramente más específicos que lo general. Eligiendo uno bien rebuscado, podrías querer comparar fonéticamente un término de búsqueda para cubrir errores de tipeo en tu buscador, usando la función SOUNDEX. Obligado a usar RAW

    ->where(DB::raw('SOUNDEX(nombre)', '=', DB::raw("SOUNDEX('$term')"))

Con eso, un término de búsqueda como bobby') OR 1=1;-- no te borrará la tabla pero podría enumerar todos los registros.

Inyectar SQL no es una ciencia exacta, pero si un sitio estuviera en modo debug y me mostrara los errores por pantalla, bastaría generar un error para ver la sentencia, y luego en pocos intentos aprovechar la sentencia para inyectar con éxito.

La versión en sentencia preparada de este ejemplo es:

 ->where(DB::raw('SOUNDEX(nombre)', '=', DB::raw("SOUNDEX(?)",[$term]))

y al quitar la interpolación manual, delegando en el conector el trabajo de entrecomillar el argumento, sea lo que sea que te manden no podrá cerrar maliciosamente el paréntesis para poner el OR.

2
  • Gracias por tomarte el tiempo de dar una respuesta tan detallada :), con el ejemplo me quedo clarisimo. Saludos desde chile
    – Mrnew
    Commented el 1 nov. 2021 a las 0:24
  • Chuta donde queda eso? Yo acá en Las Condes posom
    – ffflabs
    Commented el 1 nov. 2021 a las 3:19

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.