Inyección SQL: Qué es y Cómo prevenirla

La inyección SQL es una de las vulnerabilidades de seguridad más peligrosas y comunes en aplicaciones web. Permite a los atacantes interferir con las consultas que una aplicación hace a su base de datos, lo que puede llevar a la exposición de datos sensibles y control total sobre la base de datos afectada. En este artículo, exploraremos qué es la inyección SQL, las nuevas técnicas que se están utilizando y cómo puedes proteger tu aplicación contra este tipo de ataques.

¿Qué es la Inyección SQL?

La inyección SQL (SQL Injection) ocurre cuando un atacante inserta código SQL malicioso en un campo de entrada, el cual es luego ejecutado por la base de datos. Este tipo de ataque explota la falta de sanitización de entradas y permite a los atacantes acceder, modificar o eliminar datos de la base de datos.

Nuevas Técnicas de Inyección SQL

Con el tiempo, los atacantes han desarrollado nuevas técnicas para explotar las vulnerabilidades de inyección SQL. Algunas de las más recientes incluyen:

1. Inyección SQL Basada en Tiempo: Utiliza comandos SQL que fuerzan a la base de datos a realizar operaciones lentas (como "SLEEP"), permitiendo a los atacantes inferir información basada en el tiempo de respuesta.

2. Inyección SQL de Segundo Orden: El atacante inserta el código malicioso que no se ejecuta inmediatamente, sino que se almacena y se ejecuta posteriormente cuando otro proceso o usuario interactúa con la base de datos.

3. Inyección SQL Ciega: Los atacantes no reciben directamente los resultados de sus consultas maliciosas, pero pueden inferir información basada en las respuestas de la aplicación (por ejemplo, respuestas diferentes para consultas verdaderas o falsas).

Ejemplos de Inyección SQL

Ejemplo Básico

Supongamos que tienes un formulario de inicio de sesión donde los usuarios ingresan su nombre de usuario y contraseña:

SELECT * FROM usuarios WHERE usuario = 'usuario' AND contraseña = 'contraseña';

Un atacante puede ingresar usuario' OR '1'='1 en el campo de usuario y cualquier cosa en el campo de contraseña para hacer que la consulta se convierta en:

SELECT * FROM usuarios WHERE usuario = 'usuario' OR '1'='1' AND contraseña = 'contraseña';

Esto hará que la consulta siempre sea verdadera, permitiendo el acceso no autorizado.

Ejemplo de Inyección SQL Basada en Tiempo

SELECT * FROM usuarios WHERE usuario = 'admin' AND IF(SUBSTRING((SELECT version()), 1, 1) = '5', SLEEP(5), 0);

Si la primera letra de la versión de la base de datos es '5', la base de datos dormirá por 5 segundos.

Recomendaciones para Evitar la Inyección SQL

1. Usa Consultas Parametrizadas: En lugar de construir consultas SQL concatenando strings, usa consultas parametrizadas que separan el código SQL de los datos proporcionados por el usuario.

   
   cursor.execute("SELECT * FROM usuarios WHERE usuario = %s AND contraseña = %s", (usuario, contraseña))
   

2. Usa ORM (Object-Relational Mapping): Los ORM como Django ORM, SQLAlchemy, o Hibernate abstraen el acceso a la base de datos y automáticamente gestionan la sanitización de entradas.

3. Escapa los Caracteres Especiales: Utiliza funciones que escapan los caracteres especiales en las consultas SQL. Sin embargo, esta no es una solución infalible y no debe ser tu única defensa.

4. Valida y Sanitiza las Entradas: Asegúrate de validar y sanitizar todas las entradas de los usuarios. Permite solo los caracteres y formatos esperados.

5. Revisa y Limita los Permisos de la Base de Datos: Asegúrate de que las cuentas de usuario de la base de datos usadas por tu aplicación tengan los permisos mínimos necesarios.

6. Monitorea y Registra las Actividades: Implementa mecanismos de monitoreo y registro para detectar y responder rápidamente a posibles ataques de inyección SQL.

Ejemplo de Consulta Parametrizada en Python con MySQL

import mysql.connector

conexion = mysql.connector.connect(
    host="tu_servidor",
    user="tu_usuario",
    password="tu_contraseña",
    database="tu_base_de_datos"
)

cursor = conexion.cursor()

usuario = "usuario"
contraseña = "contraseña"

consulta = "SELECT * FROM usuarios WHERE usuario = %s AND contraseña = %s"
valores = (usuario, contraseña)

cursor.execute(consulta, valores)

resultado = cursor.fetchall()

for fila in resultado:
    print(fila)

conexion.close()

Implementar estas recomendaciones y mantener tu código actualizado y seguro es crucial para proteger tu aplicación contra ataques de inyección SQL.

Conclusión

La inyección SQL es una amenaza seria, pero con las prácticas adecuadas de seguridad, es posible mitigar el riesgo y proteger tu aplicación. Utiliza consultas parametrizadas, ORM, y otras técnicas de sanitización de entradas para mantener tus datos seguros.