sql injection - charruacharrua.org/presentaciones/leandropintos_charruacon_sqli.pdf~# distintos...
TRANSCRIPT
SQLInjection
1ºEdición-11y12deMayoMontevideo,Uruguay
• LeandroPintosa.k.al34r00t• Pentester@MkitArgentina• Colaboradoren:
~#Sobremí
SQLiynomorirenelintentoSQLInjection
http://www.andsec.org/
•Elcontenidoexpuestoenlasiguientepresentaciónes exclusivamente de carácter educativo para quelospresentesconozcanlagravedaddeunataquedeSQLInjectionycómoprotegersedelmismo.
•Loaprendidoenestacharlaesparaquelopuedanreplicar en sus laboratorios privados, y asíaprendercómoprotegersusaplicacionesweb.
SQLiynomorirenelintento
~#Disclaimer
SQLInjection
• Presentación• ¿QuéesOWASP?• ¿QuéesSQLi?• Funcionamientodeunaaplicaciónweb• ¿Porquéocurrelainyección?• DistintostiposdeinyeccionesSQL• IntroducciónaconsultasSQL• Demotime;)• HerramientasparaataquesautomatizadosdeSQLi• Recomendaciones• SQLienelmundoreal• Conclusión
SQLiynomorirenelintento
~#Agenda
SQLInjection
~#¿QuéesOWASP?• ProyectoabiertodeSeguridadenAplicacionesWeb
(OpenWebApplicationSecurityProject)• Sinfinesdelucro.• Proporcionamaterialcolaborativoalacomunidad.• Soportadaatravésdedonaciones.• Promueveeldesarrollosegurodesoftware.• Crea conciencia acerca de la seguridad enaplicacionesweb.
• OWASPTop10
https://www.owasp.org/index.php/Main_Page
SQLiynomorirenelintentoSQLInjection
~#OWASPTop10
SQLiynomorirenelintentoSQLInjection
~#¿QuéesSQLi?
Es una vulnerabilidad que permite a unusuario malintencionado realizar consultasSQLdeformaarbitrariaalabasededatospormediodelaaplicaciónweb.
SQLiynomorirenelintentoSQLInjection
~#Funcionamientodeunaaplicaciónweb
SQLiynomorirenelintento
Funcionamientonormal
Servidor de Aplicaciones
Servidor de Base de Datos
El usuario realiza una petición (GET/ POST) a una pagina web.
La aplicación recibe la solicitud y realiza la consulta SQL a la Base de Datos
para obtener el resultado.
El usuario recibe el resultado mostrado por la aplicación web.
La Base de datos ejecuta la consulta SQL y devuelve el resultado a la aplicación web.
1 2
34
http://mipoc.com.ar/buscar.php?id=1
ID Articulo Precio
1 Mesa ARS500
SQLInjection
~#Funcionamientodeunaaplicaciónweb
SQLiynomorirenelintento
Funcionamientomodificado
Servidor de Aplicaciones
Servidor de Base de Datos
La aplicación recibe la solicitud y realiza la consulta SQL a la Base de Datos.
El usuario malicioso logra obtener información arbitraria de la base de datos.
La Base de datos ejecuta la consulta SQL y devuelve el resultado requerido.
1 2
34
El usuario malicioso modifica el envío GET/POST, colocando en la URL sentencias SQL.
http://mipoc.com.ar/buscar.php?id=1+sentencia_SQL
ID Articulo Precio
1 Mesa ARS500
SQLInjection
~#¿PorquéocurrelainyecciónSQL?
SQLiynomorirenelintento
Sedebeaquenoserealizauncorrectofiltradodevariables permitiendo el envío de consultas a labasededatosmediantelaaplicaciónweb.
SQLInjection
~#DistintostiposdeinyeccionesSQL
SQLiynomorirenelintento
•InyecciónSQLaformulariodeLoginSe evidencia cuando se logra realizar una sentencia sql de talmanera que enviando una expresión lógica su resultado sea unresultadoseasiempreverdadera(TRUE).Deestamaneraobtenemosunusuariovalidodelabasededatos.
SQLInjection
~#DistintostiposdeinyeccionesSQL
SQLiynomorirenelintento
•InyecciónSQLbasadaenerrores(ErrorBased)Se evidencia cuando el motor de la base de datos recibe unasentenciaquenolograprocesar,devolviendounmensajedeerror.
SQLInjection
~#DistintostiposdeinyeccionesSQL
SQLiynomorirenelintento
•InyecciónSQLCiega(BlindSQLInjection)Seevidenciacuandounawebappmuestrauncomportamientodistintoalonormaldependiendodeltipodeconsultarealizadaalabasededatos.
• Boolean-BasedSQLiApartirdelcomportamientodelarespuestadelawebappselograextraerlainformaciónenbaseavaloresTrueoFalse.
• Time-BasedSQLiSe utiliza la lógica para extraer la información de la base dedatosdependiendodeltiempoderespuestadelaconsultarealizada.
SQLInjection
IntroducciónaconsultasSQL
SQLiynomorirenelintentoSQLInjection
~#ComandosbásicosautilizarenunservidorSQL
SQLiynomorirenelintento
SELECT Seleccionalosregistrosdentrodeunatabla.
FROM Establecelatabladelacualsevanaseleccionarlosregistros.
WHERE Establecelascondicionesquedebenreunirlosregistrosquesevanaseleccionar.
UNION Uneconsultasylasconcatenaenunúnicoresultado.
ORDERBY Ordenalosregistrosseleccionadosdeacuerdoconunordenespecifico.
LIMIT UtilizadaparalimitarlosregistrosqueseretornanenunaconsultaSELECT.
SQLInjection
~#ParámetrosbásicosautilizarenunservidorSQL
SQLiynomorirenelintento
' SirveparaestablecercadenasdeltipoSTRING
; Sirveparaindicarlafinalizacióndeunasentencia.
-- Sirveparacomentarelrestodetextoenlasentencia.
+ Esutilizadoparagenerarespaciosenlaurl.
<,>,= Operadorescomparativosdedatos.
or,and Operadoreslogicos.
SQLInjection
SQLiynomorirenelintentoSQLInjection
~#AlgunasherramientasparaataquesautomatizadosdeSQLi
SQLiynomorirenelintento
http://sqlninja.sourceforge.net
http://www.sqlpowerinjector.com
http://sqlmap.org
https://github.com/BCable/sqlier
SQLInjection
SQLiynomorirenelintento
~#Recomendaciones• Verificarcorrectamenteelinputdelusuario• Aplicar filtros que eviten los caracteresespeciales
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
SQLInjection
SQLiynomorirenelintento~#Recomendaciones
Ejemplo:
• addslashesFunción en PHP la cual devuelve un string con barrasinvertidas, escapando comillas simples, comillas dobles,barrainvertida,yelNUL(elbyteNULL).
SQLInjection
SQLiynomorirenelintento~#Recomendaciones
Ejemplo:
• mysql_real_escape_stringEscapa caracteres especiales en una cadena para su uso enunasentenciaSQL.
• htmlentitiesConviertetodosloscaracteresaplicablesaentidadesHTML.
• preg_replaceRealizaunabúsquedaysustitucióndeunaexpresiónregular.
SQLInjection
SQLiynomorirenelintento~#Recomendaciones
Ejemplo:
SQLInjection
SQLiynomorirenelintento
~#SQLienelmundoreal
SQLInjection
SQLiynomorirenelintento
~#SQLienelmundoreal
https://www.akamai.com/StateOfTheInternet/
SQLInjection
SQLiynomorirenelintento
~#Conclusión
• Buenasprácticasdedesarrolloseguro.• Analizarlaswebappsantesdesaliraproducción.• Análisisperiódicosalaswebappsestandoenproducción.
• Charlasalasgerenciasdedesarrollosobrelagravedaddeesteataque.
• Tomarconciencia.
SQLInjection
SQLiynomorirenelintentoSQLInjection
