¿Qué es la inyección de SQL?

¿Sabes qué es la inyección de SQL? La inyección de código fue catalogada, en el año 2017, como el tipo de ciberataque más común en el mundo de las aplicaciones web, según el ranking de OWASP Top 10. En la versión más actualizada de esta lista, hecha en 2021, estos tipos de ataques descendieron al tercer lugar, pero continúan siendo una grave amenaza para las páginas web de todo el mundo.

En este post, hablaremos sobre uno de los tipos de ataques de inyección de código más comunes y más peligrosos. A continuación, te explicaremos qué es la inyección de SQL, qué peligros representa y cómo puedes proteger tus sistemas de estos ciberataques.

¿Qué es la inyección de SQL?

La inyección de SQL es un tipo de ciberataque mediante el cual se consigue enviarle datos a una página web, que terminan ejecutando comandos en la página y modificando los resultados de la consulta.

Un ataque de inyección de SQL satisfactorio podría llevar a:

• Leer y modificar una base de datos.
• Ejecutar tareas de administración en la base de datos.
• Tomar el control de la máquina por medio de una ejecución remota de código.

Una vulnerabilidad de inyección de SQL permite que los hackers maliciosos introduzcan y ejecuten comandos dentro de la aplicación a través de entradas comunes, como una página de login. Por medio de estos comandos, si existe este tipo de vulnerabilidad, el atacante podría preguntarle a la base de datos cuáles son todos los usuarios del sitio web, cuáles son sus contraseñas y borrar o modificar toda esta información, entre otras acciones. Dependiendo del tipo de base de datos, se podrían incluso instalar programas y llegar a hacer ejecución remota de código (RCE).

En otras palabras, si un atacante consigue hacer una inyección de código SQL, se puede robar toda la base de datos a través de la misma aplicación web.

¿Qué es SQL?

Para entender mejor qué es la inyección de SQL, es bueno comprender en qué consiste este lenguaje de programación.

SQL es un lenguaje que se especializa en la construcción de bases de datos, pues facilita la navegación a través de ellas. Una consulta SQL es una manera de hacerle preguntas a una base de datos acerca de la información que contiene. Por ejemplo, por medio de este lenguaje, puede preguntársele a una base de datos cuántos usuarios presentan una característica determinada, entre muchas otras funciones.

Cuanto más conozcas acerca de este lenguaje de programación, más sofisticados son los ataques de SQL injection que puedes hacer. Sin embargo, existen herramientas que automatizan estos ciberataques y, por eso, no es estrictamente necesario ser experto en SQL para llevar a cabo una inyección de código en este lenguaje.

Inyección de SQL y hacking ético

Ya hemos visto la definición de qué es la inyección de SQL. Ahora, te explicaremos cómo se realizan estos ataques de manera controlada en ejercicios de pruebas de penetración.

En el hacking ético, es necesario probar todo tipo de ciberataques. Las inyecciones de SQL a páginas web, por supuesto, no son la excepción. Por eso, existen herramientas que facilitan el uso de esta técnica sin el fin de hacerle daño a la aplicación web, sino con la intención de auditar la seguridad del sistema. Uno de los programas más conocidos y utilizados para hacer este tipo de ciberataques en auditorías es SQLMap.

SQLMap

Si no eres experto en el lenguaje de programación SQL y deseas hacer una auditoría a una página web, no te preocupes, pues existen herramientas que facilitan este tipo de inyección de código.

SQLMap es un software de código abierto que viene instalado con el sistema operativo de ciberseguridad ofensiva, Kali Linux. Esta herramienta sirve para automatizar los ataques de inyección de SQL y ejecutar acciones maliciosas con el fin de poner a prueba la seguridad de una aplicación web.

Primero, SQLMap te dirá si la página es vulnerable y, después, te permite elegir los comandos que deseas ejecutar. De este modo, puedes verificar si es posible robar datos o, peor aún, instalar algún tipo de malware o tomar el control de la máquina.

El problema con este software es que, en realidad, genera mucho ruido al funcionar, pues hace miles de peticiones al sistema para realizar el ataque. Por eso, resulta fácil de detectar, dada la forma en la que opera.

¿Cómo prevenir los ataques de inyección de SQL?

Ahora sabes qué es la inyección de SQL y cómo se utiliza en hacking ético, veremos brevemente las formas correctas de configurar una web para evitar este tipo de ataques:

1. Consultas inmutables.
2. Consultas parametrizadas.
3. Procedimientos almacenados.
4. Asignación objeto-relacional.

Todos estos son protocolos conocidos que impiden la ejecución de comandos en una página web por parte de un usuario. Sin embargo, actualmente muchas compañías no los incluyen, por descuido, dentro de sus políticas de seguridad.

¿Cómo aprender más?

Ya has aprendido qué es la inyección de SQL, pero no dejes que tus conocimientos se detengan en este punto. Si quieres especializarte en ciberseguridad, es el momento de apuntarte en nuestro Ciberseguridad Full Stack Bootcamp, donde podrás convertirte en un experto en menos de 7 meses. ¡No esperes más e inscríbete ya!