Una inyección SQL se produce cuando la entrada del usuario no confiable se agrega dinámicamente a una consulta SQL de manera insegura, a menudo a través de la concatenación de cadenas básica. La inyección SQL es uno de los riesgos de seguridad de aplicaciones más peligrosos. La inyección de SQL es fácil de explotar y puede provocar que toda la base de datos sea robada, borrada o modificada. La aplicación incluso se puede usar para ejecutar comandos peligrosos contra el sistema operativo que aloja su base de datos, lo que le da al atacante un punto de apoyo en su red.
Para mitigar la inyección SQL, se debe evitar que la entrada no confiable se interprete como parte de un comando SQL. La mejor manera de hacerlo es con la técnica de programación conocida como 'Parametrización de consultas'. Esta defensa debe aplicarse a SQL, OQL, así como a la construcción de procedimientos almacenados.
Ciertas ubicaciones en una consulta de base de datos no son parametrizables. Estas ubicaciones son diferentes para cada proveedor de base de datos. Asegúrese de realizar una validación de concordancia exacta muy cuidadosa o un escape manual al confrontar parámetros de consulta de base de datos que no pueden vincularse a una consulta parametrizada.
Los sistemas de administración de bases de datos no siempre se envían en una configuración "segura por defecto". Se debe tener cuidado para garantizar que los controles de seguridad disponibles desde el Sistema de gestión de bases de datos (DBMS) y la plataforma de alojamiento estén habilitados y configurados correctamente. Hay estándares, guías y puntos de referencia disponibles para los DBMS más comunes.
Todo el acceso a la base de datos debe autenticarse adecuadamente. La autenticación al DBMS debe realizarse de manera segura. La autenticación debe realizarse solo a través de un canal seguro. Las credenciales deben estar debidamente aseguradas y disponibles para su uso.
La mayoría de los DBMS admiten una variedad de métodos de comunicación (servicios, API, etc.): seguros (autenticados, cifrados) e inseguros (no autenticados o no cifrados). Es una buena práctica usar solo las opciones de comunicaciones seguras según el control Protect Data Everywhere .