Ataques de Inyección SQL: qué son, qué consecuencias tienen y cómo prevenirlos

El término SQL proviene del inglés Structured Query Language, lo cual se traduce al español como Lenguaje de Consulta Estructurada. Éste es un lenguaje de programación diseñado para la gestión de bases de datos y actualmente es el lenguaje más utilizado a nivel mundial para este propósito.

El lenguaje SQL nos permite crear bases de datos, introducir o modificar datos existentes en estas bases, entre otras cosas. Cuando una página web necesita acceso a cierta información, o necesita modificarla, lo hace a través de una petición utilizando SQL.

Por ejemplo, un usuario puede pedirle a una página web que le muestre información sobre su cuenta mediante un formulario. Este formulario puede ser la sección donde se introduce el nombre de usuario y contraseña. Gracias al SQL, la página busca dicha información en su base de datos y la muestra al usuario. 

Los ataques de inyección SQL, también conocidos como SQLi, son un tipo de ciberataque en el cual el hacker introduce un código SQL malicioso en una página web o aplicación. 

Al insertar dicho código, el ciberdelincuente podría tener acceso a la información que reside en la base de datos. En algunos casos podría también modificar o incluso borrar la información en dicha base de datos. En otros casos más extremos, el atacante podría tomar el control total de una red o sistema.

Este tipo de ataques es uno de los más comunes, ya que es relativamente sencillo de realizar (comparado con otros). Actualmente, constituyen alrededor de dos tercios del total de los ataques cibernéticos. OWASP, una fundación sin fines de lucro dedicada a la ciberseguridad, coloca a los ataques SQLi como uno de los riesgos más altos en cuestión de ciberseguridad para las aplicaciones web.

¿Cómo se llevan a cabo estos ataques?

Los SQLi se llevan a cabo insertando comandos específicos en los formularios e inputs de usuario de las páginas web o aplicaciones. 

Vamos a explicarlo con un caso hipotético: supongamos que existe un nombre de usuario «juan@mail.com» cuya contraseña es «Password123!». Estos datos son los que se pondrían en el formulario para iniciar sesión. Al insertar estos datos, la aplicación verificaría esta información en la base de datos a través de una petición SQL, y si concuerdan, entonces le daría acceso al usuario. 

Ahora bien, un atacante podría colocar por usuario: «juan@mail.com» y en la contraseña escribir «abc OR 2 + 2 = 4». Esto le indicaría al servidor que le dé acceso al usuario si la contraseña es «abc», lo cual es incorrecto, o si se cumple que 2 + 2 = 4, lo cual es correcto. De esta manera el atacante puede tener acceso a la información de Juan sin conocer su contraseña.

Estos ataques suceden, esencialmente, porque el programador no ha sido cuidadoso al programar qué tipos de datos el formulario puede aceptar, lo cual crea una vulnerabilidad informática. Estos formularios o inputs solo deberían aceptar caracteres específicos, como letras y números, y no otro tipo de caracteres especiales que permitan la ejecución de un código SQL.

Una buena configuración de los datos de entrada de los usuarios elimina la posibilidad de los ataques SQL, ya que cuando el hacker intente colocar un comando extra, la página que está bien diseñada no reconocerá ni ejecutará las líneas extras de códigos que ha intentado implementar. 

Signos de que has sido víctima de una SQLi

Aunque en muchas ocasiones los ataques de inyección SQL no son detectados, existen algunas pistas que podrían dar indicios de su existencia:

• Se ha recibido una cantidad exorbitante de solicitudes de registro, consulta o modificación de datos en muy poco tiempo.
• El servidor web se comporta de forma anómala y muestra mensajes de error.
• Se percibe una lentitud notoria en los servicios.
• Aparecen ventanas emergentes desconocidas.

Tipos de inyección SQL

Los ataques SQLi son de diversos tipos, y cada uno se aprovecha de distintas vulnerabilidades. A continuación te mencionamos algunos de sus tipos y subtipos:

Inyección SQL en banda

Este tipo de ataque es uno de los más sencillos. Los ciberdelincuentes lanzan el ataque y recuperan la información deseada, utilizando el mismo canal de comunicación o banda a través de un servidor. Los encontramos de dos tipos:

SQLi basado en errores

Este ataque se realiza usualmente en la primera fase de un ataque más complejo. Los hackers buscan obtener mensajes de error que pueden tener información sobre la estructura de la base de datos, como por ejemplo el nombre de la tabla que están tratando de acceder. Luego, esta información puede ser utilizada para un ataque posterior.

SQLi basado en unión

Cuando se realiza una petición de búsqueda en una base de datos, uno de los operadores que se utilizan es el operador SELECT, el cual selecciona cierta información de una tabla. 

Los atacantes aprovechan esto y utilizan el comando UNION, el cual concatena el resultado de múltiples búsquedas que hace el operador SELECT. De esta manera, los cibercriminales pueden obtener información de distintas partes de la base de datos.

Inyección SQL ciega

En los ataques de inyección ciega, los atacantes buscan patrones de comportamiento de la base de datos. En este caso, a diferencia del anterior, los mensajes o datos no se transfieren de vuelta al atacante, por lo que este queda a «ciegas». El atacante obtiene información de manera inferencial. Estos pueden ser:

SQLi basado en tiempo

En este tipo de ataque, el atacante puede enviar un código que le indique a la base de datos que espere cierto tiempo determinado, usando por ejemplo el comando SLEEP.  Si la base de datos tarda en responder o no lo hacen en el tiempo exacto que ha indicado el hacker, entonces este sabrá que la base de datos es vulnerable.

SQLi booleana

En programación, cuando hablamos de variables booleanas nos referimos a un tipo de variable que solo puede tener dos valores: true o false (verdadero o falso). En esta SQLi booleana, el ciberdelincuente envía peticiones que contienen alguna instrucción que sea verdadera o falsa. Por ejemplo, 2 + 2 = 4 y 2 + 2 = 5.

Dependiendo de la respuesta de la base de datos a esta instrucción, el atacante puede obtener información adicional sobre el comportamiento y estructura de la base de datos.

Inyección SQL fuera de banda

En este tipo de inyecciones, los hackers tratan de extraer la información de una base de datos a un servidor diferente, por eso se llaman fuera de banda. Los atacantes realizan estos ataques utilizando peticiones HTTP o DNS. Este tipo de ataque son menos comunes, pero son los más peligrosos.

Como es de esperar, las SQLi pueden traer diversos problemas para el usuario, para PyMEs y startups. A continuación te mencionamos algunos de los más importantes: 

Robo o descarga de la Base de Datos

Al lograr cierto acceso a la base de datos mediante una inyección SQL, los atacantes pueden robar o descargar por completo la base de datos. Luego, esta información podría ser vendida al mejor postor en la Dark Web.

Robo de cuentas y suplantación de identidad

Las bases de datos pueden tener información importante y relevante de un usuario. Cuando un hacker logra tener acceso a esta información, este podría hacer uso de ella para robar cuentas, datos confidenciales, o incluso llegar a suplantar la identidad de alguien. Es por esto que es importante proteger los datos personales.

Daño a la página web o aplicación

Otro objetivo que pueden tener los ciberdelincuentes es el de dañar una página web o aplicación. Al tener el control de la base de datos, estos podrían modificarla o incluso borrarla completamente. 

Luego, cuando una aplicación vaya a buscar en la información de la base de datos, no encontrará nada y la aplicación o página web dejará de funcionar correctamente.

Robo o alteración de información sensible

Al tener acceso y control de una base de datos, un atacante podría robar información personal o datos sensibles como número de teléfono, números de tarjetas de crédito, entre otros. Además, podría alterar dicha información, causando luego problemas a la hora de que el usuario vaya a utilizar determinado servicio.

Obtener privilegios dentro de la red

Al entrar a una base de datos, el cibercriminal podría potencialmente acceder a otras partes de la red de un sistema. Si el administrador de la base de datos tiene acceso a otras partes de la red, al estar comprometidas sus credenciales, el atacante podría infiltrarse en toda la red interna de una empresa.

Pérdida de credibilidad

Al ser víctima de un ataque de inyección SQL, una PyME o startup podría perder la credibilidad ante sus clientes, ya que estos perderán confianza y no se sentirán seguros utilizando los servicios de la empresa.

Como hemos visto, los ataques de inyección SQL pueden ser devastadores. Aquí te dejamos algunos consejos sobre cómo evitarlos y cómo mitigar el daño luego de que hayan ocurrido.

Controla la entrada de los usuarios

Este es el aspecto más esencial en cuanto a la prevención de las SQLi. Lo primero es el «saneamiento» de la entrada del usuario o inputs. 

Esto consiste en evitar que los formularios que usan normalmente los usuarios no acepten caracteres especiales, frases o comandos SQL. De esta manera, si el atacante introduce una instrucción SQL en el formulario, esta no será procesada y no podrá acceder a la base de datos.

Realiza tus sentencias SQL de forma parametrizada

Otro paso importante para la prevención de los ataques de inyección es parametrizar las consultas. Se deben establecer ciertos parámetros que permitan distinguir entre la información legítima que suministra un usuario, y los comandos o códigos que puede suministrar un hacker.

Mantente actualizado

Al crear una red, con su respectiva base de datos, debemos asegurarnos de usar todos los programas y aplicaciones más actualizados posibles. Muchas veces cuando un programa se actualiza, lo hace para corregir ciertas vulnerabilidades que se encontraban en versiones anteriores. 

Usar los programas más actualizados permite trabajar sobre una base que sea lo menos vulnerable posible ante ataques de inyección SQL.

Crea contraseñas fuertes

Es recomendable usar contraseñas fuertes y distintas para cada cuenta que poseas. Estas se pueden manejar mediante un gestor de contraseñas. 

Si un cibercriminal logra acceder a la base de datos de algún servicio que utilices, y logra obtener una de tus contraseñas, esta no servirá para que el atacante pueda acceder a otra de tus cuentas en otras plataformas.

Utiliza un firewall de aplicaciones web

Un firewall o cortafuegos de aplicación web (WAF, por sus siglas en inglés) es otra capa esencial de protección. Estos cortafuegos tienen la capacidad de filtrar códigos maliciosos y SQLi. Usualmente, los WAF se actualizan regularmente y están a la vanguardia de las nuevas amenazas.

Utiliza listas blancas

En programación existe lo que se conoce como listas blancas. Estas son unas listas o registro de frases o comandos que pueden ser aceptados en una situación particular.

Por ejemplo, si en un formulario se pide un correo electrónico, se puede configurar una lista blanca para que dicho formulario solo acepte como entrada válida una dirección de correo y no cualquier tipo de frase o código.

Lleva a cabo un pentest

Otra herramienta importante para la protección de ataques SQL son las pruebas de penetración. Estas consisten en un ataque ético y controlado que tiene como propósito encontrar las vulnerabilidades de tu sistema. 

Al realizar un pentest, puedes conocer qué tipos de ataques son posibles en tu red, para luego corregirlos apropiadamente.

Asesórate con profesionales

Una de las medidas de seguridad más importantes es asesorarse con expertos. Estos nos pueden ayudar en distintos ámbitos, como lo son las políticas de ciberseguridad, realizar pruebas de seguridad o incluso contratar un CISO.

Un profesional de la seguridad informática te dará todo el conocimiento y las herramientas necesarias para prevenir y mitigar ataques SQLi y otros tipos de filtraciones. 

En Delta Protect simplificamos la ciberseguridad y el cumplimiento en tu empresa con nuestros complementos de Apolo como el pentesting y CISO. Si quieres saber qué otras estrategias puedes tomar para evitar la inyección de código SQL y mejorar tu ciberseguridad, agenda una demo de Apolo con nuestros expertos.