Skip to main content
1 de 5
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257

¿La Inyección SQL actúa sólo a nivel de la base de datos o el riesgo es aún mayor?

Existe una pregunta relacionada: ¿Qué es la inyección SQL y cómo puedo evitarla? la cual cuenta con excelentes respuestas sobre el tema de la Inyección SQL.

Creo que muchos de nosotros, cuando vemos consultas de este tipo:

SELECT * FROM tabla WHERE id=$id;

pegamos el grito al cielo (y con toda razón), advirtiendo al OP de que su código es vulnerable.

En efecto, comprendemos que la variable $id es suministrada por el ususario, a través de un formulario, de una URL o de cualquier otra fuente externa.

Si dicha variable depende del usuario y el programador crea código para que la consulta se ejecute sin ningún tipo de prevención, tenemos entonces tres tipos de personas:

  • Un programador ingenuo que desconoce algo tan importante como la seguridad
  • Usuarios bien intencionados
  • Usuarios mal intencionados

Veamos lo que ocurre con estos tres personajes:

  • La tarea del programador ingenuo es dejar que esta consulta se ejecute sin más:

     $id=$_POST['id'];    
     SELECT * FROM tabla WHERE id=$id;
    
  • La tarea del usuario bien intencionado es escribir el valor que corresponde donde se pide el id. Él escribirá por ejemplo 1 o cualquier otro número.

     $id=$_POST['id']; //1 u otro número
    

    Por lo que la consulta quedará así:

     SELECT * FROM tabla WHERE id=1;
    
  • Pero la tarea del usuario mal intencionado será hacer daño a nuestros datos o peor aún, tomar el control de ellos.

    Donde se espera el id él podría escribir:

     1; DELETE FROM tabla;
    

    ¿Cómo quedaría nuestra consulta?

     $id=$_POST['id']; //    1; DELETE FROM tabla;
     SELECT * FROM tabla WHERE id=1; DELETE FROM tabla;
    

    Tenemos entonces dos consultas en una, lo cual es admitido por muchos manejadores de bases de datos. Ambas consultas son independientes, y ambas se ejecutarán. Sólo que la primera tendrá posibilidad de encontrar datos la primera vez, porque después de ella todos los datos de tabla serán borrados. Si tabla tiene un registro, o tiene millones de registros... da igual, serán borrados todos.

    Bueno, podemos establecer categorías en nuestros usuarios mal intencionados. El que hiciera esto de borrar una simple tabla después de todo no sería tan malévolo, sabiendo que podría borrar más tablas.

    De hecho, donde se espera el id él podría escribir:

     1; DELETE FROM tabla; DELETE FROM otra-tabla; DELETE FROM todas-las-que-quiera;
    

    Un usuario mal intencionado con peores intenciones, podría tomar el control de la base de datos:

     1; UPDATE usuarios SET password='1hackeado2' WHERE usuario='admin';
    

    Bueno, eso despertaría sospechas. Él podría simplemente conocer la clave del admin y de paso de todos los usuarios y acceder para alterar datos.

     1; SELECT password FROM usuarios;
    

#La pregunta

En muchos casos, cuando se advierte del código vulnerable algunos argumentan que son datos de prueba y que es una base de datos de prueba. O sea, poco importa que se borren tablas o que se tome el control de ella, después de todo son datos de prueba.

Pero... ¿y si nuestro sistema propiamente está en riesgo?

Mi pregunta es si la Inyección SQL tiene impacto sólo a nivel de la base de datos o si cualquier usuario mal intencionado puede acceder también a nuestro sistema (no solamente a la base de datos) y ejecutar comandos dentro de él.

O planteado de otro modo: ¿la Inyección SQL podría ir más lejos de SQL?.

A. Cedano
  • 95.2k
  • 31
  • 145
  • 257