Pautas

Inyección 101

Una de las clases de vulnerabilidades más conocidas suelen ser las vulnerabilidades de inyección, especialmente, y no sorprende a nadie, la indiscutible hija del póster: la inyección SQL. Es difícil evitar oír hablar de la inyección de SQL en el mundo de la tecnología, así que vamos a hablar de ello.

Con SQL Injection, es posible manipular el comportamiento de una consulta SQL para que cumpla las órdenes de un atacante.

También hay muchos otros tipos de inyección que, si bien son diferentes en su superficie, funcionan según el mismo principio.

En resumen, algunos de los tipos de inyección más comunes son:

Inyección SQL
Secuencias de comandos entre sitios (HTML/Javascript injection)
Ruta transversal (inyección de ruta/URL)
Inyección de comandos
Inyección de código

A small injection 101

Si nos fijamos en la lista anterior de tipos de inyección, todos tienen una cosa en común: todos implican una cadena, que se ejecuta a través de un intérprete, que luego hace lo que representa la cadena. Hemos marcado la «entrada del usuario» entre corchetes.

Tipo	Ejemplo de entrada	Cómo se interpreta
SQL	SELECT nombre FROM usuarios WHERE nombre de usuario = '{admin}'	Selecciona la columna "Nombre" de todas las filas de la tabla de usuarios en las que el nombre de usuario es 'admin'.
HTML	{John Smith}	Muestra el nombre "John Smith" en negrita
Ruta	/var/www/app/documents/{privacy-policy.pdf}	Señala el archivo `privacy-policy.pdf` en la carpeta `/var/www/app/documents/`.
Comando	ping {8.8.8.8}	Envía una serie de pings ICMP a la IP `8.8.8.8`.
Código	const name = '{John Smith}';	Establece la variable constante `nombre` al valor `John Smith

Entonces, ¿qué pasaría si la inserción de la entrada del usuario fuera insegura? ¿Qué podría hacer un atacante? Una vez más, todo lo que esté entre corchetes se considera «entrada del usuario» en este escenario.

Tipo	Ejemplo de entrada	Cómo se interpreta
SQL - Inyectado	SELECT name FROM users WHERE username = '{1' UNION SELECT passwordhash from users WHERE username = 'admin}'	Selecciona el "Nombre" de todas las filas de la tabla de usuarios donde el nombre de usuario es 'admin', y el hash de la contraseña de los usuarios donde el nombre de usuario es 'admin'.
HTML - Inyectado	{}	Mostrar el nombre "John Smith" en negrita
Trayectoria - Inyectado	/var/www/app/documents/{../../../../../etc/shadow}	Apunta al archivo `shadow` en la carpeta `/etc/`.
Mando - Inyectado	ping {8.8.8.8 && ls . }	Envía una serie de pings ICMP a la IP `8.8.8.8`, e imprime el contenido del directorio actual con `ls`.
Código - Inyectado	const name = '{John Smith'; exec('ls .'); # }';	Establece la variable constante `nombre` con el valor `John Smith` y, a continuación, ejecuta el comando del sistema `ls .

En estos ejemplos, toma nota de cómo se puede usar la entrada para influir en el resultado de la entrada del usuario.

Esta es la esencia de lo que es la inyección. Influye en lo que se pasa al intérprete para que haga algo diferente a lo que pretendía el programador original.

Estos son solo los aspectos básicos a tener en cuenta. Hemos separado algunos de los diferentes tipos de inyección en sus propias páginas porque merecen un poco más de atención.

Puedes encontrarlos aquí:

Inyección de comandos‍

Recorrido de caminos‍

Inyección SQL‍

Secuencias de comandos entre sitios