Qué es una Inyección SQL y cómo afecta a tu web

• 26 diciembre, 2019
• Prestigia Seguridad
• sin comentarios

Este tipo de ataques, bastante usuales, se conocen también como ataques de tipo “SQL Injection”. Los ataques de Inyección SQL suelen llevarse a cabo con el fin de obtener las credenciales de usuario directamente desde la base de datos, ya bien sea para el para el robo de información sensible o incluso la alteración del contenido web. Igualmente, aunque no logren modificar el sitio web, los ataques de Inyección SQL podrían provocar fugas de información no solo a nivel de credenciales de usuarios, direcciones, código postal DNI, etc. ¿sabíais el impacto que podría tener? En este sentido, no queríamos dejar de lado el post realizado hace unos meses sobre qué son y qué hacer ante las Brechas de Seguridad.

Mitigar ataques de Inyección SQL

Primeramente, deberíamos en todo momento tener actualizados los plugins de nuestro CMS y adicionalmente, de forma continuada, realizar pruebas de Hacking Ético y Test de Intrusión, en embargo, queremos dar las siguientes pautas para mitigar este tipo de ataques:

Si hablamos de validar, hacemos referencia a añadir la barra invertida “\” siempre delante de las cadenas de código utilizadas en las consultas SQL con el fin de evitar que sentencias maliciosas corrompan la consulta. En la medida de lo posible, debemos validar y escapar los caracteres especiales utilizados en las consultas SQL ejecutadas por nuestro motor SQL. Algunos caracteres especiales que es aconsejable validar correctamente son por ejemplo, las comillas simples (‘), las comillas dobles (“) y adicionalmente los caracteres \x00 o \x1a ya que estos son considerados peligrosos, pues pueden ser usados para realizar ataques de Inyecciones.

Validar siempre y en la medida de lo posible, los datos introducidos por el usuario, es decir, si en una consulta SQL esperamos que el usuario introducza un numero, un entero, debemos validar que sea lo que introduce, en caso negativo, aconsejamos tomar medidas de seguridad en codigo fuente y comprobar que realmente tratamos el tipo de dato que estamos esperando recibir.

Detectar este tipo de ataques

La detección y prevención es primordial para mitigar este tipo de ciberataques, a continuación te explicamos que hacer para detectar este tipo de ataques.

Mientras más altos sean los requerimientos ligados a la seguridad de la compañía, mayor necesidad imperativa tendremos de instalar sistemas de prevención de intrusiones (IPS) o bien sistemas de detección de intrusiones (IDS). Este tipo de dispositivos de seguridad, funcionan mediante distintos sistemas de obtención de datos y reconocimiento y su principal objetivo es detectar ataques hacia los servidores de nuestra compañía y realizar alertas a los administradores y departamentos de seguridad. Destacamos los sistemas IPS, que pueden realizar mitigaciones de forma automatizada. 

No queremos dejar de lado otra medida de protección, bastante recomendable que sería la implantación de un puerto de escucha en la capa de aplicación que realice la monitorización de forma directa, en la capa de aplicación y el tráfico entre las aplicaciones.

Realizar un bastionado y blindado de la base de datos y utilizar códigos más seguros, debería ser una de las prioridades para mitigar este tipo de ataques. Para esto, recomendamos deshabilitar servicios y usuario inactivos. Adicionalmente, debemos eliminar y deshabilitar los procedimientos almacenados que no sean utilizados. Configurar una cuenta de base de datos destinada solo para acceder desde la web y sobre todo, que tenga derechos de acceso mínimos.

Ataques conocidos a compañías mediante Inyección SQL

La compañía Imperva realizo hace unos meses un análisis denominado “Monitorizando los Foros de los Hackers“ y los resultados arrojados, se focalizan directamente e ataques de tipo DDoS (Distributed Denial of Service) y las Inyecciones SQL están presentes en el 19% de las conversaciones de los foros analizados.

Un ejemplo seria  el Ciberataque a Sony Pictures en Junio de 2012. La gran compañía  cinematográfica Sony Pictures Entertainment fue atacada por el conocido grupo de hackers LulzSec el cual se atribuyó el robo de datos personales de un millón de usuarios.

Por último, desde Prestigia Seguridad, nuestro equipo realiza auditorias de seguridad a una inmensidad de sectores empresariales, que contemplan este tipo de pruebas con el fin de mejorar la seguridad de tu sitio web.