El Ataque de inyección de script, a menudo denominado ejecución remota de código (RCE), es un ataque cometido por atacantes que tienen la capacidad de inyectar y ejecutar código malicioso en una aplicación; Ataque de inyección. Este código externo es capaz de comprometer la seguridad de los datos, comprometer la integridad de la base de datos o las propiedades privadas. En muchos casos, pueden eludir el control de autenticación y dichos ataques suelen estar asociados con aplicaciones que dependen de la entrada del usuario y que desean ejecutar.
En general, las aplicaciones son más vulnerables si el código se ejecuta sin pasar primero por la validación. Un caso simple de código vulnerable se muestra a continuación.
En el ejemplo anterior, la página de información de PHP es vulnerable y se mostrará si la URL es http://example.com/?code=phpinfo(); Funciona.
Dado que la interacción del usuario con las aplicaciones es esencial en el mundo en línea actual, la inyección de código ha crecido y se ha convertido en una amenaza real para muchos recursos en línea.
Tipos de ataques de inyección de scripts
Existen principalmente cuatro tipos de ataques de inyección de script: inyección SQL, inyección de JavaScript, inyección de shell y evaluación dinámica. Todos estos tienen el mismo principio de funcionamiento, es decir, el código se inyecta en ellos y las aplicaciones lo ejecutan, pero los dos en los que me centraré son la inyección SQL y la inyección de script.
¿Cómo funciona la inyección SQL?
En el caso de la inyección de SQL, el ataque tiene como objetivo corromper una consulta de base de datos legítima para producir datos fraudulentos. El atacante primero debe ubicar la entrada del código dentro de la aplicación web de destino incrustada dentro de la consulta SQL.
Este método solo es efectivo si la aplicación web tiene una entrada de usuario incluida en la instrucción SQL. Luego se puede insertar y ejecutar una carga útil (una declaración SQL maliciosa) en el servidor de la base de datos.
El siguiente código de pseudoservidor del lado del servidor es un ejemplo simple de autenticación que puede ser vulnerable a la inyección de SQL.
En el código anterior, el atacante puede insertar una carga útil que cambiará la declaración SQL ejecutada por el servidor de la base de datos. Ejemplo configurando el campo de contraseña a:
password’ OR 1=1
Esto ejecuta automáticamente la siguiente instrucción en el servidor de la base de datos:
SELECT id FROM users WHERE username=’username’ AND password=’password’ OR 1=1
¿Qué puede hacer la inyección SQL?
Este es el tipo más común de programación de inyección. Dado el hecho de que SQL es el lenguaje utilizado para manipular los datos almacenados en RDBMS, se puede utilizar un ataque que utilice la capacidad de proporcionar y ejecutar sentencias SQL para acceder, modificar e incluso eliminar datos.
Puede dar a un atacante la capacidad de eludir la autenticación, revelar completamente los datos almacenados en la base de datos, cuestionar la integridad de los datos y causar problemas de denegación, alterar saldos y cancelar transacciones.
Cómo prevenir la inyección SQL
Hay algunos pasos para hacer que sus aplicaciones sean menos vulnerables, pero antes de cualquiera de estos pasos, es mejor asumir que todos los datos proporcionados por los usuarios son peligrosos y que no confía en ninguno de ellos. Entonces puedes considerar lo siguiente:
- Deshabilite el uso de SQL dinámico: esto significa que no se crean consultas de base de datos con la entrada del usuario. Si es necesario, desinfecte, verifique y salga de los valores antes de realizar una consulta con los datos de entrada del usuario.
- Aproveche el firewall: el firewall de una aplicación web (software o aplicación) ayudará a filtrar los datos maliciosos.
- Compre un mejor software: esto simplemente significa que el programador será responsable de verificar e identificar los defectos.
- Cifrar o cifrar las contraseñas y todos los demás datos confidenciales que tenga, esto debe incluir cadenas de conexión.
- Evite conectarse a su base de datos con cuentas de administrador premium a menos que sea absolutamente necesario.
Guión .inyección
Esta vulnerabilidad de seguridad es una amenaza que permite a los atacantes inyectar código malicioso directamente a través de formularios web de sitios web basados en datos a través de widgets. Este ataque a menudo se denomina cross-site scripting o XSS. se consideran marcas و و و و و و و هي الأكثر استهدافًا لحقن Script.
Cómo prevenir la inyección de Script
Los pasos para evitar la inyección de secuencias de comandos dependen del código de secuencias de comandos que esté utilizando. En general, necesitará:
- Valide y desinfecte la entrada del usuario (cualquier forma de campos de entrada) eliminando o saliendo del contenido potencialmente dañino
- Limpiar cadenas de consulta en URL
- Valide y sanee todas las formas de datos, matrices y objetos antes de ejecutarlos en el servidor
Conclusión
En pocas palabras, es mejor prevenir que curar. Con las nuevas actualizaciones en tecnología, hay más amenazas para nuestros sistemas. Para estar al tanto de todo, es importante tener los últimos parches y actualizaciones y mantener las mejores prácticas. Esto hace que sea difícil ser víctima de estos ataques maliciosos.
