La inyección SQL es un tipo de ataque a una aplicación que permite insertar sentencias SQL maliciosas, obteniendo potencialmente acceso a datos sensibles en la base de datos.
Una vez que esto ocurre, el atacante puede realizar todo tipo de acciones: desde controlar la base de datos del sitio web hasta secuestrar la información de los usuarios.
Los ataques SQL pueden tener muy diversas consecuencias:
- Daños al sitio web: se pueden borrar o modificar la base de datos y destruir el sitio web.
- Robo o filtración de datos: muchos ataques tienen por objetivo robar datos usuarios o clientes.
Casos frecuentes de Inyección SQL:
- Mediante Formularios: Una de las formas más comunes de utilizar el ataque es utilizar una entrada de datos que se transmiten al servidor, en lugar de completar los campos con respuestas comunes, los atacantes introducen sentencias de código SQL. En caso de que el control de datos permita la información introducida, se ejecutara el código inyectado.
- Mediante Parámetros: Al ser ingresada la URL el servidor solicita información a la base de datos. Un atacante puede integrar código SQL en la solicitud del navegador, en caso de no estar protegido correctamente, se ejecutaría en la base de datos del servidor.
- Herramientas de Hackeo Automáticas: Existen herramientas de inyección SQL automáticas, como SQLMAP que detectan y se aprovechan de las vulnerabilidades presentes en un sitio web y su base de datos.