📰Guía SQL Injection — Payloads Comunes
Durante revisiones de seguridad a aplicaciones críticas, se identificaron patrones de inyección SQL (SQLi) que siguen siendo efectivos cuando la entrada del usuario se concatena en consultas. A continuación se presentan payloads representativos —con fines formativos—, su efecto y contramedidas recomendadas.
🔎 Payloads observados
Comentarios para truncar la consulta
'-- -Convierte el resto de la sentencia en comentario y puede anular validaciones (p. ej., comprobación de contraseña). Mitigación: parametrización y prohibir concatenación.
Extracción de versión del motor
' UNION SELECT @@version, NULL-- -Permite inferir versión y ajustar técnicas del atacante. Mitigación: errores genéricos, mínimos privilegios y WAF/IPS.
Enumeración de tablas
' UNION SELECT table_name, NULL FROM information_schema.tables-- -Expone estructura de datos accesible. Mitigación: limitar vistas/metadatos y roles mínimos.
Bypass con OR lógico
admin' OR 'a'='aFuerza condición verdadera en autenticación si hay concatenación directa. Mitigación: prepared statements y MFA.
Descubrimiento de columnas
' ORDER BY 3-- -Provoca errores para estimar el número de columnas y construir UNION válidos. Mitigación: sanitizar y normalizar mensajes de error.
Usuario de la base de datos
' UNION SELECT user(), NULL-- -Ayuda a entender contexto de permisos. Mitigación: ejecutar con cuentas de mínimo privilegio.
Exfiltración de credenciales (ilustrativa)
' UNION SELECT username, password FROM users-- -Demuestra el impacto si no hay sanitización. Mitigación: KDF robustos (Argon2/bcrypt), segmentación y detección de exfiltración.
🛡️ Recomendaciones inmediatas
- Parametriza todas las consultas (prepared statements u ORM seguro); prohíbe concatenación.
- Least privilege en cuentas de BD; nunca ejecutar con perfiles de administración.
- Errores genéricos y WAF/IPS con firmas actualizadas para patrones SQLi.
- Telemetría y alertas: registra
query, usuario/servicio, IP de origen y correlación en SIEM. - Pruebas continuas: SAST/DAST en CI, y pentesting con alcance y autorización.
🎓 Refuerza competencias de seguridad de aplicaciones con: CBHPX-NW – Certified Black Hat Pentesting eXpert – Network & Web Exploitation
Leave a Reply