SQL Injection \u00e9 um ataque que consiste na inser\u00e7\u00e3o de uma query via aplica\u00e7\u00e3o web. A Locaweb sempre toma todas as precau\u00e7\u00f5es em rela\u00e7\u00e3o a atualiza\u00e7\u00f5es para evitar quaisquer brechas de seguran\u00e7a nos sites hospedados.\u00a0Tais vulnerabilidades est\u00e3o presentes em c\u00f3digos (ASP, PHP, etc.) colocados pelos pr\u00f3prios clientes.<\/p>\n
Este \u00e9 o caso da SQL Injection, brecha atrav\u00e9s da qual um invasor pode executar queries arbitr\u00e1rios numa base relacional via “inje\u00e7\u00e3o” de comandos em campos de formul\u00e1rios.<\/p>\n
Entretanto \u00e0s vezes surgem vulnerabilidades que s\u00e3o exploradas atrav\u00e9s de programa\u00e7\u00e3o, de nada adiantando as precau\u00e7\u00f5es que tomamos.<\/p>\n
Atualmente existem 5 tipos de SQLi\u00a0<\/strong><\/p>\n De acordo com a OWASP as melhores pr\u00e1ticas para se previnir de um ataque de SQLi s\u00e3o:<\/p>\n Usando a fun\u00e7\u00e3o addslashes() tem o mesmo efeito que habilitar magic quotes, por\u00e9m s\u00f3 aplica onde for conveniente. O que ela faz \u00e9 colocar um caracter de escapa antes das aspas simples ou dupla, antes da barra invertida e do caracter NULL.<\/p>\n Usar ‘prepared statements’ ao inv\u00e9s do pr\u00f3prio c\u00f3digo SQL atribu\u00edndo todas as outras medidas de preven\u00e7\u00e3o usar esta, nos daria mais performace e seguran\u00e7a, al\u00e9m de ser mais simples de ler e escrever.<\/p>\n Porem s\u00f3 pode ser usado em SELECT, INSERT, UPDATE, REPLACE, DELETE e CREATE TABLE.<\/p>\n $login = $_GET[‘login’] $query = “SELECT * FROM registos WHERE login = ‘$login'”;<\/p>\n Ficaria assim:<\/p>\n $query = “SELECT * FROM registos WHERE login = OR 1”;<\/p>\n Recomendamos Limitar Privil\u00e9gios das contas com acesso ao DB. \u00c9 importante manter apenas os privil\u00e9gios e acessos necess\u00e1rios. \u00c9 comum muitas permiss\u00f5es serem dadas para resolver problemas de funcionalidade, muito parecido ao chmod 777 no linux.<\/p>\n Para se proteger do SQL Injection verifique se todo par\u00e2metro passado para o site \u00e9 tratado antes que seja concatenado na query.<\/p>\n\n
Como se proteger?<\/h6>\n
\n
Refer\u00eancias<\/h6>\n