Ataques SQL Injection Imagen gratuita tomada de freepixels.com

Ataques SQL Injection

^Destacado

by Osabuena author page

No comment Seguridad Informática Miércoles, 14 Enero 2015

tamaño de la fuente disminuir el tamaño de la fuente aumentar tamaño de la fuente
Imprimir
Email

Este ataque, mucho más complejo que el anterior de Inyección HTML, ya que es considerado una Vulnerabilidad Informática, que pretende burlar consultas y accesos en el nivel de entrada de datos a bases de datos, con el fin de llegar a información remota, o sencillamente, de lograr un reconocimiento a nivel de Súper Administrador del Sitio Web atacado.

Se utiliza con parámetros que son lógicamente determinados en variables estándar de formularios desarrollados para conectarse con motores SQL. Esto quiere decir, que no depende del lenguaje de programación en el que se desarrolla el software, sino que depende de que el tipo de sentencias utilizadas, o mejor, de la estructura de las sentencias del motor utilizado, sea SQL, MySQL o MySQLi.

Un ataque SQL Injection, o Inyección SQL, ocurre cuando se inyecta una porción de código malicioso dentro de un cósigo existente, para buscar su mal funcionamiento.

Normalmente, este tipo de ataques son exitosos en software realizado de manera descuidada, logrando una gran falta de atención a las estrategias de seguridad implementadas en el sitio web.

Este tipo de técnica, se puede dividir, en "Ataque Dirigido" y "Ataque a Ciegas".

Ataque Dirigido de SQL Injection

El Ataque Dirigido se da cuando el atacante conoce de antemano la estructura de la base de datos que se está atacando. Es decir, conoce las tablas, el diccionario de datos y las características de la base de datos en general. Normalmente el atacante fue un empleado de la empresa, o tuvo que ver directamente con el acceso a la base a nivel de administrador, o ya ha hackeado el motor de bases de datos.

Ataque a Ciegas de SQL Injection

Se realiza cuando el atacante desconoce la base de datos de la víctima, y lo hace a tientas, revisando el código fuente, haciendo, midiendo y ajustando. Obviamente este tipo de ataque tarda más, pero con perseverancia, se logra el objetivo.

Aunque hay varias formas de prevenirlo, una de las más utilizadas es proteger las URL's de comandos tipo SQL desde el archivo .htaccess.