O que é injeção de SQL?
SQL Injection é uma técnica de injeção de código usada para atacar aplicativos controlados por dados, inserindo instruções SQL maliciosas no campo de execução. O banco de dados é uma parte vital de qualquer organização. Isso é tratado pela segurança de alto nível em uma organização. Vamos primeiro aprender o que é SQL.
O que é SQL?
SQL é uma linguagem de consulta estruturada. Usado para interagir e manipular o banco de dados.
O que SQL faz exatamente?
- Crie um novo banco de dados.
- Inserir, atualizar, excluir registros.
- Crie novas consultas.
- Procedimentos armazenados.
- Crie visualizações.
- Execute consultas.
- Defina permissões.
A injeção de SQL é uma das principais ameaças à segurança. Isso está sob crime cibernético.
No SQL, temos um conceito chamado SQL Injection. Essa técnica é usada para injetar o código. SQLi (a injeção SQL também é conhecida como um tipo de hacking, ou seja, ataque de injeção). Também é conhecida como técnica de hacking na web.
Essa injeção injeta código malicioso no banco de dados, fornecendo informações em uma página da web. Essas entradas estão tendo algumas condições, que sempre são verdadeiras. Com essas condições, os hackers passam facilmente nos testes de segurança. Eles podem facilmente obter dados do banco de dados SQL. Com o SQL Injection, eles podem adicionar, modificar e excluir registros no banco de dados. Esse banco de dados pode ser qualquer um entre MySQL, SQL Server, Oracle, SQL Server, etc. é ilegal.
Se um site ou aplicativo for mal projetado, esses ataques podem prejudicar todo o sistema. Nesse ponto, a cibersegurança entra em cena.
O comportamento da injeção de SQL
Esses ataques geralmente funcionam com instruções SQL dinâmicas. A injeção de SQL depende de um mecanismo de banco de dados. Isso difere de mecanismo para mecanismo. Quando solicitamos entrada para o usuário na página, como nome de usuário e senha. Não intencionalmente, estamos dando acesso ao usuário para fornecer essa entrada diretamente no banco de dados.
Tipos de injeção SQL
- Injeção de SQL em banda (injeção clássica de SQL): nessa técnica, o hacker usa a mesma maneira de invadir o banco de dados e obter os dados, ou seja, o resultado do banco de dados.
- Injeção SQL baseada em erro: nesse tipo, o hacker obtém o padrão de erro do banco de dados e o acessa. Podemos dizer que esse é o tipo de injeção SQL em banda.
- Injeção de SQL baseada em união: essa técnica também faz parte da injeção de SQL em banda. Nesta técnica, o usuário combina a consulta e obtém o resultado de volta como parte da resposta HTTP.
- Injeção inferencial de SQL (injeção cega de SQL): como o nome sugere, aqui o hacker não usa a banda para obter dados do banco de dados. O hacker tem a capacidade de alterar a estrutura do banco de dados, observando os padrões do banco de dados. Este é um tipo muito perigoso de injeção de SQL. Esse ataque leva mais tempo para ser executado. O hacker não consegue ver a saída do ataque por essa técnica.
- Injeção cega de SQL baseada em booleana (baseada em conteúdo): faz parte da injeção de SQL inferencial. Nesta técnica, o hacker obriga o banco de dados a buscar resultados com base em condições verdadeiras ou falsas. Dependendo dessa condição, o resultado da resposta HTTP é alterado. Esse tipo de ataque para inferir se a carga utilizada retornou verdadeira ou falsa, mesmo que nenhum dado do banco de dados seja retornado. Estes ataques especialmente lentos.
- Injeção cega de SQL com base no tempo: essa técnica também faz parte da injeção de SQL inferencial. Essa técnica é usada pelos hackers para colocar as cargas úteis. Nessas técnicas, os hackers dão tempo ao banco de dados para executar a consulta. Enquanto isso, o hacker tem uma idéia sobre o resultado, seja verdadeiro ou falso. Esse processo de ataque também é lento por natureza.
- Injeção de SQL fora da banda: trata-se de um ataque baseado em recursos. Isso não é muito comum. Esse ataque é usado por um hacker quando ele precisa usar canais diferentes para atacar e outros para obter o resultado. As técnicas de injeção de SQL fora de banda dependem da capacidade do servidor de banco de dados de fazer solicitações de DNS ou HTTP para fornecer dados ao hacker.
Como funciona?
Existem principalmente duas maneiras pelas quais o invasor se concentra em obter dados:
- Ataque Direto: Usando diretamente a combinação de diferentes valores. Aqui hacker colocar a entrada confirmada, que dá o resultado exato.
- Pesquisa: Analisando o banco de dados, fornecendo informações diferentes. Aqui, o invasor observa as respostas do servidor de banco de dados e decide qual ataque deve ser realizado.
Como já discutimos, os hackers de injeção de SQL colocam a condição no elemento de entrada, o que é sempre verdadeiro. Por favor, verifique o exemplo a seguir.
EX:
Suponha que tenhamos a consulta abaixo para obter dados dos funcionários do banco de dados:
|
Selecione * dos funcionários Onde Userid = '500'
ID do usuário :
Se não tivermos nenhuma restrição na entrada do usuário. Os hackers podem usar esse campo para acessar dados do banco de dados facilmente.
E a consulta pode parecer abaixo
Selecione * dos funcionários em que ID do usuário = 500 OU 1 = 1;
Essa consulta retornará dados do banco de dados porque 1 = 1 sempre retornará verdadeiro. Dessa forma, a condição se torna verdadeira. Isso parece vulnerável. Isso é muito perigoso para a organização. Por exemplo, pense no setor bancário. Onde os usuários estão tendo suas senhas de detalhes bancários líquidos, informações de saldo etc.
Essa técnica é muito fácil para o hacker obter informações. Simplesmente dando alguma entrada ao banco de dados.
Os hackers obtêm dados simplesmente inserindo OR e = inserindo-os no banco de dados.
Nome do usuário:
"Ou" "="
Senha:
"Ou" "="
No servidor, a consulta final é executada corretamente, nenhum erro ocorre. Além disso, você pode usar 'OR' 1 '=' 1 para obter dados do servidor de banco de dados.
Agora, surge a pergunta: como manteríamos a segurança de nosso banco de dados?
E a resposta é usando parâmetros SQL.
Ao adicionar parâmetros extras na consulta quando ela é executada. Esses ataques são facilmente evitáveis por algumas técnicas abaixo.
Procedimentos armazenados, instruções preparadas, expressões regulares, direitos de acesso do usuário à conexão com o banco de dados, mensagens de erro etc. são as técnicas de prevenção .
Mais uma coisa que, devemos pensar, também é sensato ter bancos de dados diferentes para propósitos diferentes no aplicativo.
Mais uma coisa vem à tona. Testar o banco de dados para diferentes condições também é a melhor maneira.
Conclusão
Criar um banco de dados é uma parte crucial. Ter o risco de obter informações em mãos de hackers não é bom para nenhum aplicativo. Portanto, ao criar o banco de dados, devemos seguir algumas etapas fáceis para evitar essa perda, uma frase adequada para isso é "Prevenir é melhor do que remediar".
Artigos recomendados
Este foi um guia para o que é injeção de SQL. Aqui discutimos o comportamento, como funciona e os tipos de injeção de SQL. Você também pode consultar nossos outros artigos sugeridos para saber mais -
- O que é o SQL Server?
- O que é SQL | Idioma de consulta explicado
- O que é o SQL Developer?
- Atualização de comandos SQL
- Expressões regulares em Java