SQL-Injecções: Ataques ao coração do seu site

6 min.
injeções SQL

Além de Brute Force Ataques mergulhar repetidamente WordPress injeções SQL na lista das maiores ameaças aos WordPress sites. Estas são manipulações relativamente simples para a base de dados dos seus sites. Os hackers podem obter acesso a dados sensíveis ou criar as suas próprias contas administrativas e manipular o seu site à vontade. Mostramos como funciona o ataque e porque é tão perigoso.

Março de 2008: Hacker (incluindo um verdadeiro idealizar) obter 134 milhões de dados de cartão de crédito no grupo americano Heartland Payment Systems. Meados de 2011: Presumivelmente, os hackers russos adquirem Acesso ao banco de dados de eleitores cadastrados da Junta de Eleições do Illinois State Board of Elections. Algo semelhante acontece no Arizona. Fevereiro 2017: O revendedor de armas americano Airsoft GI vai ser Dados roubados de 65.000 contas de usuários. Março 2017: Alegados hackers chineses obtêm os dados pessoais de 4.000 clientes de um aplicativo coreano e enviam mensagens de texto parcialmente obscenas para as vítimas.

Todos estes ataques têm uma coisa em comum: por trás deles há um hack relativamente simples chamado SQL injection. Neste ataque, os hackers ganham acesso ao banco de dados e, portanto, a todos os dados de usuários de uma página. Na verdade, as injecções SQL são, portanto, consideradas um dos maiores perigos para os operadores de websites. Também e especialmente para webmasters que trabalham principalmente comWordPress .

E como as lojas maiores e mais complexas, em WooCommerce particular, têm sido capazes de WordPress operar sem problemas, é importante compreender, quão elevado é o risco de uma injecção WordPress SQL é e como isto trabalho.

Quão "perigosas" são as injecções WordPress SQL?

A questão da "perigosidade" de um WordPress hack não pode ser respondida sob a forma de um único indicador. Em vez disso, pelo menos dois aspectos devem ser considerados: Em primeiro lugar, a probabilidade de que os próprios WordPress WordPress projetos possam ser vítimas de tal ataque, e os danos que um hack pode causar.

Em Brute Force Ataques por exemplo, o número de ataques por mês é tão elevado (por vezes mais de 1 bilião de ataques medidos + número estimado de ataques não reportados) que se pode dizer que cada WordPress - -WordPress projecto, mais cedo ou mais tarde torna-se o alvo de um tal ataque. Os danos que podem ser causados por um hack bem sucedido são múltiplos. A maioria Brute Force dos ataques também são usados para seqüestrar websites e integrá-los em uma rede de bots. Roteiro cruzado por outro lado, ocorre com muito menos frequência, mas é usado principalmente para criar websites com Infectar código malicioso.

A organização sem fins lucrativos Open Web Application Security Project (OWASP) publica regularmente uma lista dos 10 maiores riscos de segurança para aplicações web. E as injecções de SQL ocupam aqui o primeiro lugar permanentemente, mesmo no (embora provisório) Lista para 2017.

Um gráfico da lista dos 10 maiores riscos de segurança para aplicações web, publicado regularmente pela organização sem fins lucrativos OWASP, pode ser visto. As injecções SQL têm o primeiro lugar aqui.
A organização sem fins lucrativos OWASP publica regularmente uma lista dos 10 maiores riscos de segurança para aplicações Web. As injeções de SQL ocupam regularmente o primeiro lugar aqui.

Na verdade, as injecções SQL vieram para ficar. O hack é conhecido há mais de 15 anos. E de acordo com o Relatório de Segurança da Akamai sobre o Estado da Internet para 2017 a frequência dos ataques SQL aumentou em 28% desde o primeiro trimestre de 2016. No primeiro trimestre de 2017, as injecções SQL foram os hacks mais frequentemente realizados, sendo responsáveis por 44% dos ataques. 

É ilustrado aqui que no primeiro trimestre de 2017 a injeção SQL é o hack mais frequentemente realizado, com 44% dos ataques.
De acordo com o relatório de segurança da Akamai State of the Internet Security Report 2017, a injecção SQL foi o hack mais frequentemente realizado no primeiro trimestre de 2017, com 44% dos ataques.

Wordfence, Fabricante de um software de segurança para WordPress , chega à conclusão que as injecções SQL são um grande perigo especialmente para os WordPress utilizadores. A Análise de quase 1.600 vulnerabilidades de segurança em Pluginsque foram relatados durante um período de 14 meses, mostra claramente que as injeções SQL são o segundo risco de segurança mais comum para os WordPress sites.

O gráfico mostra claramente que as injecções SQL são o segundo risco de segurança mais comum para as WordPress páginas.
O gráfico mostra que as injecções SQL são o segundo risco de segurança mais comum para as WordPress páginas.

Com todos estes números você tem que ter em mente que o número de casos não relatados é muito maior - muitas vezes os ataques SQL não são notados e não aparecem em nenhuma estatística.

Os números mostram que as injeções WordPress SQL são realizadas de acordo com Brute Force Ataques e falhas XSS são um dos tipos de ataque mais comuns de todos. As injecções SQL também visam uma área particularmente sensível do seu site: a sua base de dados. Especialmente para proprietários de lojas, estes hacks são uma ameaça existencial. Por isso é importante entender como funcionam e o que você pode fazer com eles.

WordPress As injecções SQL visam o coração do seu site: A base de dados

Para entender como funciona uma injeção SQL, você precisa entender a estrutura WordPress básica. Se você já sabe disso, você pode pular esta seção com segurança.

A base de dados é a base para cada WordPress instalação: todo o conteúdo é armazenado aqui. O próprio CMS torna então possível exibir e editar este conteúdo. Esta WordPress é uma base de dados MySQL. SQL significa Structured Query Language, uma linguagem de programação completa que pode ser usada para criar estruturas em um banco de dados e para inserir, modificar e excluir dados.

Cada vez que você escreve um artigo, cria uma nova categoria, muda sua senha ou mesmo quando seus usuários postam um comentário, esses novos dados são armazenados no banco de dados. Então aqui está todo o conteúdo do seu site.

WordPress sempre que um usuário visita seu site e solicita determinado conteúdo, ele puxa os dados apropriados da base de dados, funde com o PHP e cria um documento HTML que é finalmente enviado para o navegador do usuário. O usuário não percebe nada de todos os processos que acontecem até então.

SQL Injections contrabandeia código externo para a base de dados

Mesmo que você nunca interaja diretamente com a base de dados, mas apenas com o WordPress backend: A base de dados é o coração do seu site.

Mas como eu disse, os usuários também são capazes de inserir dados na base de dados. Escrever um comentário, criar uma conta de usuário, preencher um formulário de contato e enviá-lo - todas essas ações geram dados que são armazenados no banco de dados.

Mas e se alguém usar esse acesso indireto à sua base de dados para contrabandear código malicioso para a base de dados? Então isto é chamado uma injeção SQL.

A ideia por trás disso nem sequer é particularmente complicada: Se não existem medidas de segurança em vigor, o hacker só tem de introduzir o código SQL num campo do formulário (por exemplo, ao escrever um comentário). Este contém caracteres que têm uma função especial para o interpretador SQL - que é responsável pela execução de comandos SQL no banco de dados. Tais caracteres especiais, chamados meta-caracteres, são, por exemplo ; " " e \i1.

O CMS acredita que os dados são inofensivos e passa a entrada para o banco de dados com a ordem de salvá-los como de costume. O interpretador SQL reconhece o código pelos meta-caracteres como um pedido de ação e executa o comando da base de dados.

A propósito, o mesmo se aplica às injecções SQL e aos Brute Forceataques: quase nunca há um hacker sentado sozinho no computador e introduz manualmente os códigos nos formulários. Estes ataques também são realizados através de botnets automatizados, que varrem milhares de sites simultaneamente em busca de pontos fracos e atacam onde eles encontram um.

O que pode acontecer agora?

  • O hacker contorna qualquer mecanismo de autenticação ou se esconde por trás da identidade de um usuário existente para obter acesso. Por exemplo, se um hacker cria uma nova conta administrativa, também se fala de um Escalada de Privilégios Exploit.
  • Desta forma, ele pode espiar, alterar ou apagar dados. Isto é especialmente crítico se você administra uma loja online e tem os dados de pagamento dos seus clientes à sua disposição.
  • Ele pode assumir o controle de todo o seu site e espaço web, por exemplo, fazendo login como administrador e ganhando acesso ao seu backend. Desta forma, um hacker tem controle total sobre seu site e pode abusar dele como um spam-slinger, introduzir código malicioso ou inseri-lo em uma botnet.

Conclusão: as injecções WordPress SQL são muito perigosas devido à automatização

WordPress As injecções SQL estão entre os hacks mais perigosos de todos. São fáceis de realizar, na sua maioria automatizados e podem causar danos maciços: Especialmente para proprietários de lojas, o perigo das injecções SQL é existencial.

Portanto, é importante proteger o seu site de acordo com isso: As entradas do usuário devem ser verificadas e limpas. Você também deve mascarar dados para evitar que códigos maliciosos sejam executados. Este processo chama-se Data Sanitization and Validation e é utilizado, por exemplo, no WordPress Codex é discutido em detalhe. No entanto, em um dos seguintes artigos entraremos em mais detalhes e lhe mostraremos como evitar que códigos maliciosos fiquem ativos em sua base de dados.

SegurançaPlugins abrangente também é de fundamental ajuda aqui: eles são especialmente capazes de bloquear ataques automatizados em suas páginas, que são a base para muitos hacks.

Artigos relacionados

Comentários sobre este artigo

Escreve um comentário

O teu endereço de e-mail não será publicado. Os campos obrigatórios estão marcados com * .