Se há uma coisa que os cibercriminosos adoram são os dados. Os dados roubados são extremamente valiosos em mercados ilícitos, e o acesso a bancos de dados privados pode ser uma ótima maneira de os agentes mal-intencionados lucrar com isso. Um método de acesso a dados privados é por meio de SQL Injection. Mas o que exatamente é o SQL Injection, como funciona e como esse ataque pode ser evitado?
O que é SQL Injection?
Os programas de software dependem do código para funcionar. O código também é a linguagem que as máquinas usam para operar e pode vir de várias formas (Python, JavaScript, C++, etc.). Os cibercriminosos geralmente podem atacar as vítimas por meio de código, e o SQL Injection (ou SQLis) não é exceção. Isso permite que atores mal-intencionados “injetem” código prejudicial em instruções SQL.
Vamos primeiro ver o que significa SQL.
SQL significa Linguagem de Consulta Estruturada. Esta é outra linguagem de programação projetada especificamente para trabalhar com bancos de dados. O SQL foi desenvolvido pela IBM na década de 1970 para manipular, armazenar e recuperar informações do banco de dados. Muitos sistemas de comunicação de banco de dados em todo o mundo usam SQL, portanto, não é surpresa que os agentes de ameaças tenham desenvolvido maneiras de abusar dele em bancos de dados direcionados.
As instruções SQL formam uma parte fundamental da comunicação do banco de dados. Uma instrução SQL é um comando que vem em muitas formas diferentes. Alguns alteram dados, outros restauram ou excluem dados e alguns podem alterar a estrutura do próprio banco de dados. Quando ocorre a SQL Injection, o código malicioso é injetado nas instruções SQL.
Obviamente, um site ou aplicativo precisa usar a linguagem de programação SQL para poder realizar o SQL Injection. Mas como funciona esse vetor de ataque?
Suponha que você tenha uma linha regular de código que seu aplicativo usa. Quando um cibercriminoso insere uma SQL Injection maliciosa, ele adiciona uma linha de código que pode interferir nas consultas emitidas pelo próprio aplicativo e enviadas ao seu banco de dados. Ao fazer isso, os bancos de dados podem ser explorados de forma a permitir que os agentes de ameaças visualizem dados aos quais não têm acesso.
A partir daqui, os cibercriminosos podem roubar dados para explorá-los diretamente ou vendê-los na darknet ou em outro lugar. Eles também podem alterar, adicionar ou excluir dados no banco de dados de destino. Dependendo da extensão do ataque de SQL Injection, muitos danos podem ser causados. Muitas pessoas correm o risco de serem exploradas se detalhes de pagamento, números de segurança social ou outros tipos de dados privados forem acessados.
Por outro lado, se um invasor conseguir alterar significativamente o banco de dados, grandes quantidades de dados podem ser perdidas permanentemente. Resumindo, o SQL Injection pode comprometer todo um banco de dados com apenas um ataque. Embora existam desde 1998, ainda são relevantes e perigosos hoje.
Ao testar aplicativos para tais ataques em 2021, 274.000 instâncias de SQL Injection foram identificadas, como descobriu o Open Web Application Security Project (OWASP).
Tipos de SQL Injection
Existem vários tipos diferentes de SQL Injection, os três tipos principais são blind, in-band e out-of-band.
O SQL Injection cega (ou especulativa) ocorre quando um aplicativo ou site está sujeito a um ataque de injeção (injection), mas a resposta HTTP (Hypertext Transfer Protocol) fornecida não contém os resultados de uma consulta SQL. Em outras palavras, nenhum dos dados do banco de dados comprometido estará disponível para os cibercriminosos. Qual é o ponto?
Usando injeção (injection) cega de SQL, um invasor envia dados para um servidor de destino e pode discernir certas informações sobre o banco de dados por meio da natureza da própria resposta HTTP. Além disso, fatores relacionados às respostas HTTP podem ajudar os invasores a criar outra SQL Injection mais eficaz para acessar o banco de dados.
Existem dois tipos principais de injeções cegas de SQL, chamadas baseadas em tempo e booleanas. As duas variantes são muito semelhantes na natureza. As injeções SQL booleanas e baseadas em tempo enviam um conjunto de perguntas sim ou não, embora as últimas exijam que o banco de dados espere um período de tempo antes de responder à consulta.
Depois, há o SQL Injection em banda. O SQL Injection em banda permite que o operador execute o ataque e use o mesmo canal para obter o resultado desejado. As injeções de SQL em banda são as mais usadas simplesmente porque requerem apenas um canal e, portanto, são as mais fáceis de executar.
Por fim, você tem SQL Injection fora de banda. Esta é essencialmente uma versão alternativa do SQL Injection em banda, onde o invasor não pode executar totalmente o ataque usando um único canal. Como alternativa, o ataque pode precisar recorrer à SQL Injection fora da banda se o servidor de destino não for rápido o suficiente para fornecer resultados.
Esses fatores dificultam um pouco o processo, o que significa que ele deve ter certos recursos ativos no banco de dados de destino para ser bem-sucedido. Por exemplo, a plataforma comprometida pode não ter sanitização de entrada. Portanto, as injeções de SQL dentro da banda são mais comuns do que as injeções de SQL fora da banda. Mas eles ainda acontecem.
O SQL Injection pode ser evitada?
O SQL Injection é uma preocupação maior para empresas e organizações do que para o indivíduo comum. Mas existem medidas que esses alvos em potencial podem tomar para reduzir as chances de serem atingidos por tal ataque.
A sanitização de entrada é a prática mais comum para evitar o SQL Injection. Este é um processo de filtragem que verifica e limpa a entrada de caracteres perigosos. Se o código SQL for processado antes de ser higienizado, as chances de SQL Injection aumentarão naturalmente.
Além disso, consultas parametrizadas podem ajudar a evitar injeções de SQL. Essas consultas requerem pelo menos um parâmetro para serem executadas. A imposição de parâmetros torna mais difícil para os cibercriminosos realizar ataques de SQL Injection com sucesso.
Mas não há uma maneira infalível de impedir o SQL Injection. Como em muitos ataques cibernéticos, é quase impossível selar completamente seus dispositivos e sistemas. Para SQL Injection, o melhor que você pode fazer é limpar todas as entradas e configurar consultas parametrizadas.
Esta prática é antiga, mas ainda é uma ameaça
Embora os SQL Injection existam há mais de 20 anos, elas ainda representam um risco para muitos sites e aplicativos. Portanto, é melhor manter essa forma de ataque em mente e tomar as medidas necessárias para tentar evitá-la, pois pode representar uma ameaça ao seu banco de dados em algum momento no futuro.
