Los ataques de inyección de código están entre los más comunes, y también los más peligrosos, que muchos sitios web y aplicaciones encontrarán. Son muy variados, tanto en términos de sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte entradas de usuario puede ser vulnerable. De hecho, casi todos los defensores de la ciberseguridad tendrán que enfrentarse a este tipo de ataque en algún momento de su carrera, y probablemente lo harán varias veces.

Un ataque de inyección de código puede ocurrir siempre que una aplicación o sitio web acepte entradas de los usuarios. Esto puede ser tan simple como proporcionar una función de búsqueda o pedir a un usuario que introduzca su información de identificación. El ataque se produce cuando un usuario malintencionado introduce un código en el campo abierto en lugar de una entrada de texto normal. Su objetivo es hacer que el servidor confunda la entrada con un código válido, y luego ejecute las funciones que el atacante desee.

Mientras que los ataques de inyección de código son extremadamente comunes, también lo son las defensas disponibles que se pueden utilizar para detenerlos. En este episodio, aprenderemos:

• Cómo funcionan
• Por qué son tan peligrosos
• Cómo puede poner defensas para detenerlos.

¿Cómo utilizan los atacantes la inyección de código?

Aunque los detalles específicos de los ataques de inyección de código cambian en función del lenguaje de programación utilizado, cualquier aplicación o sitio web puede ser vulnerable siempre que permita a un usuario introducir datos. Los ataques de inyección de código se han desencadenado para SQL, HTML, XML, CSS y cualquier otro lenguaje de programación común.

En primer lugar, un atacante debe localizar el código vulnerable dentro de una aplicación, normalmente en un punto en el que los usuarios pueden introducir sus propias entradas. Por ejemplo, este código toma la función PHP eval() y la pasa a un usuario para que la modifique, sin ningún tipo de validación de la cadena de retorno.

$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");

Un atacante inteligente podría añadir fácilmente su propia cadena a la función eval, incluso ejecutando comandos del sistema si así lo desea.

/index.php?arg=1; system(id)

Es importante tener en cuenta que, aunque los ataques de inyección de código pueden implicar el envío de comandos del sistema, no se limitan a hacer eso. De hecho, con los ataques de inyección de código, los hackers sólo están limitados por la funcionalidad del propio lenguaje. En nuestro ejemplo, un atacante podría programar el sistema objetivo para hacer casi cualquier cosa permitida por el framework PHP.

¿Por qué son tan peligrosos los ataques de inyección de código?

Los ataques de inyección de código son potencialmente muy peligrosos dependiendo de la habilidad del atacante. Pueden hacer cualquier cosa que el lenguaje de programación permita, lo que les pone en igualdad de condiciones con los programadores de la aplicación. Un atacante podría prácticamente escribir su propia aplicación y hacer que se ejecute en el entorno de destino.

Incluso los atacantes menos hábiles pueden ser peligrosos. En lugar de escribir su propia aplicación o cadenas de código, pueden simplemente ordenar al sistema objetivo que acepte e instale malware preprogramado. Esto podría conducir a la desfiguración del sitio, ataques de ransomware o incluso convertirse en la base de una campaña de phishing dirigida contra los usuarios del sitio.

La mayoría de las veces, los ataques de inyección de código se utilizan para robar cosas como listas de usuarios y contraseñas, o para obtener un valioso reconocimiento de un sistema que se quiere comprometer. Pero hay que tener en cuenta que un programador hábil puede hacer casi cualquier cosa con un ataque de inyección de código, por lo que es fundamental descubrir y eliminar de su entorno todos los casos potenciales.

No confíes en nadie (O al menos, no en los usuarios)

Cuando se eliminan las vulnerabilidades de los ataques de inyección de código, el primer lugar en el que se debe buscar es en cualquier lugar que solicite o permita la entrada del usuario. Cualquier cosa introducida por un usuario no es de confianza bajo ninguna circunstancia. Si permites la entrada del usuario sin filtrarla o examinarla, básicamente estás invitando a los atacantes a tener una oportunidad gratuita de comprometer tu sistema o incluso tu red.

Aunque no siempre es posible, la mejor manera de frustrar los ataques de inyección de código es impedir que las funciones se ejecuten o interpreten directamente la entrada del usuario. Tal vez se pueda dar a los usuarios una selección de opciones estáticas en lugar de darles rienda suelta para que introduzcan sus propias consultas, y programar la aplicación para que sólo acepte como válidas esas opciones limitadas. Puede que no siempre sea apropiado hacer esto, pero usarlo cuando sea posible puede eliminar las inyecciones de código antes de que empiecen.

En las áreas en las que los usuarios tienen que introducir sus propios datos, se deben establecer controles estrictos sobre los mismos. Asumir que todo es un ataque potencial es un buen punto de partida. La aplicación de políticas de mínimos privilegios, como el acceso de los usuarios a la lectura, tanto en el lado del cliente como del servidor, puede impedir la ejecución de la mayor parte del código.

La otra buena defensa es implementar filtros en toda la aplicación y sanear todo lo que ingresa el usuario. Los desarrolladores han sido conscientes de los ataques de inyección de código durante años, y existen bibliotecas de filtros probados para cada marco y lenguaje. Al aplicar esos filtros, asegúrate de hacerlo no sólo en las áreas obvias de entrada del usuario o contra parámetros comunes como los comandos Get y Post, sino también contra las cookies y las cabeceras HTTP.

Aplicación de una corrección por inyección de código

La eliminación de las áreas de entrada de usuario innecesarias de su entorno, la aplicación de los principios de mínimo privilegio y el uso de las últimas herramientas de filtrado y sanitización para inspeccionar y detectar posibles ataques pueden cerrar la puerta a esta peligrosa vulnerabilidad. Tener la mentalidad de no confiar nunca en las entradas del usuario también le servirá para avanzar. Si hace todo esto, podrá ir un paso por delante de este peligroso tipo de ataque.

Para más información, puedes consultar el artículo de OWASP sobre inyección de código. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

Enfréntate a la inyección de código de frente, ahora mismo. Acepta el reto en nuestra plataforma de formación gamificada: [Empieza aquí]