Métodos de ataque a bases de datos, análisis de SQL Inyection y guía de protección

Abstract

While technology and computational algorithms evolve. At the same time the methods of attack to the web applications grow, this document contains information to understand what is SQL Inyection, one of the attacks that since its appearance has been evolving considerably and in the last years it has positioned itself in a preponderant place inside of the most used computer attacks for web applications. It explains how SQL Inyection attacks are performed, how the information obtained from the database works and the type of existing tools to perform an attack. This attack focuses on database managers such as: Oracle, Microsoft SQL Server, etc. which are preferred by criminals to be attacked. The necessary steps to protect a database in traditional installations are shown. These attacks are so dangerous that they can not only obtain information from the database (users, passwords, etc...), but they can also erase the information from the database, leave it unusable or apply to DDOS attacks among others. Inside SQL Inyection we will go into a specific method known as Blind SQL Inyection, we can also learn to check inside the code once it has been understood how this type of attack works, to correct the programming parameters within PHP and thus be able to perform Web applications not vulnerable to SQL Inyection.

Mientras evoluciona la tecnología y los algoritmos computacionales al mismo tiempo crecen los métodos de ataque a las aplicaciones web, este documento contiene información para entender lo que es SQL Inyection, uno de los ataques que desde su aparición ha evolucionado considerablemente y en los últimos años se ha posicionado en un lugar preponderante dentro de los ataques informáticos más usados para aplicaciones web. Se explica cómo se realizan los ataques SQL Inyection, cómo funciona la obtención de la información de la base de datos y el tipo de herramientas existentes para realizar un ataque. Este ataque se enfoca a los gestores de bases de datos como son: Oracle, Microsoft SQL Server, MySQL, etc. que son los preferidos por los criminales para ser atacados. Se muestran los pasos necesarios para proteger una base de datos en instalaciones tradicionales. Estos ataques son tan peligrosos que pueden no solo obtener información de la base de datos (usuarios, contraseñas, etc…), sino también pueden borrar la información de la base de datos, dejarla inservible entre otros. Dentro de SQL Inyection nos adentraremos en un método específico conocido como Blind SQL Inyection, además podremos aprender a revisar dentro del código una vez que se haya entendido cómo funciona este tipo de ataque, a corregir los parámetros de programación dentro de PHP y así poder realizar aplicativos web no vulnerables a SQL Inyection.