SHADOWOFCHINO

Mysql Injection

Continuando con los temas de verificación de seguridad, explicaremos como se puede realizar una verificación de seguridad a una base de datos realizando Mysql Injection.

Este modelo de validación consiste en engañar al login de acceso en una base de datos, con simples funciones de decisión, las cuales están ya preestablecidas por Mysql como sentencias SQL.

lo que buscamos con esta técnica es explotar la vulnerabilidad existente en el código volcando la respuesta de la base de datos y así ingresar al contenido de la misma.

Existe dos maneras de hacerlo,

la primera es realizando la intrusión de código directo en base a compuertas de decisión dentro del mismo código en la plantilla de acceso.

ejemplo:

' or '1'='1' -- '

' or '1'='1' ({ '

' or '1'='1' /* '

este tipo de código lo escribiremos en los espacios de usuario y contraseña de una pagina vulnerable y hay nos permitirá realizar el acceso directamente, cabe a notar que todo este proceso es netamente informativo y alentando a mantener filtros de seguridad, para evitar ataques como este en el momento que realicemos algún desarrollo.

otro tipo de acceso es usando el complemento de Firefox Mozilla, Mysqlinjection, el cual nos permite generar todos los códigos existentes.

este complemento se encarga de realizar la validación del código mediante usuario y contraseña directamente, evitando los errores de sintaxis, cargándolo en cada uno de los espacios allí mostrados.




Como ven, es un proceso muy fácil de realizar, todo dependiendo del nivel de seguridad que estemos manejando en nuestra base de datos.

Espero esta guía sirva para estar mas atento a nuestro nivel de seguridad en cada uno de nuestros desarrollos pues como bien sabemos en nuestra carrera lo mas importante es la seguridad de la información que manejamos.