Explorando Vulnerabilidades de Injeção SQL

Quando Usar

• Testar parâmetros de entrada de aplicações web em busca de vulnerabilidades de injeção SQL durante um teste de penetração autorizado
• Validar que consultas parametrizadas e sanitização de entrada estão devidamente implementadas em todas as interações com o banco de dados
• Demonstrar o impacto nos negócios de uma vulnerabilidade de injeção SQL confirmada, extraindo dados sensíveis
• Verificar se regras de WAF e controles de validação de entrada bloqueiam efetivamente payloads de injeção SQL
• Testar stored procedures, SQL dinâmico e cenários de bypass de ORM em aplicações corporativas

Não use contra bancos de dados sem autorização por escrito, para extrair ou exfiltrar dados reais de clientes além do necessário para prova de conceito, ou contra bancos de dados de produção onde a exploração possa corromper a integridade dos dados.

Pré-requisitos

• Autorização por escrito especificando a aplicação alvo e o nível de exploração permitido (apenas detecção vs. exploração completa)
• Burp Suite Professional configurado como proxy de interceptação para capturar e modificar requisições HTTP
• sqlmap instalado com a versão atual para detecção e exploração automatizadas
• Conhecimento do motor de banco de dados alvo (MySQL, PostgreSQL, MSSQL, Oracle) ou capacidade de identificá-lo
• Contas de teste em vários níveis de privilégio para testar injeção em contextos autenticados

Fluxo de Trabalho

Passo 1: Descoberta de Ponto de Injeção

Identifique parâmetros que interagem com o banco de dados:

• Mapeie todos os vetores de entrada: Catalogue cada parâmetro em URLs (GET), corpos de requisição (POST), cabeçalhos HTTP (Cookie, Referer, User-Agent, X-Forwarded-For) e payloads de API JSON/XML
• Detecção baseada em erro: Injete uma aspa simples (') em cada parâmetro e observe a resposta. Erros de SQL (ex: "You have an error in your SQL syntax", "unterminated quoted string", "ORA-01756") confirmam que o parâmetro chega ao banco de dados sem sanitização.
• Detecção baseada em booleano: Injete ' AND 1=1-- (condição verdadeira) e ' AND 1=2-- (condição falsa). Se as respostas diferirem (diferente tamanho de conteúdo, diferentes dados retornados, diferente status HTTP), o parâmetro é injetável.
• Detecção baseada em tempo: Injete '; WAITFOR DELAY '0:0:5'-- (MSSQL), ' AND SLEEP(5)-- (MySQL) ou '; SELECT pg_sleep(5)-- (PostgreSQL). Um atraso de 5 segundos na resposta confirma a injeção.
• Detecção out-of-band: Use payloads que acionam requisições DNS ou HTTP para um domínio do Burp Collaborator para confirmar injeção em cenários onde as respostas não são diretamente observáveis.
• Injeção de segunda ordem: Teste injeção onde a entrada é armazenada e posteriormente usada em uma consulta SQL diferente (ex: nome de usuário armazenado no registro, usado em uma consulta na página de perfil).

Passo 2: Identificação do Banco de Dados

Determine o motor e a versão do banco de dados para selecionar técnicas de exploração apropriadas:

• Identificação baseada em erro: Cada banco de dados produz mensagens de erro distintas. MySQL inclui "MySQL", MSSQL menciona "SQL Server", PostgreSQL referencia "PG", Oracle contém "ORA-".
• Identificação baseada em função: Injete funções específicas do banco de dados:
  • MySQL: ' AND VERSION()-- ou ' AND @@version--
  • MSSQL: ' AND @@version-- ou ' AND DB_NAME()--
  • PostgreSQL: ' AND version()--
  • Oracle: ' AND banner FROM v$version--
• Diferenças de concatenação de strings: MySQL usa CONCAT('a','b') ou 'a' 'b', MSSQL usa 'a'+'b', PostgreSQL usa 'a'||'b', Oracle usa 'a'||'b'
• Sintaxe de comentário: MySQL suporta # e -- , MSSQL usa -- , PostgreSQL usa -- , Oracle usa --

Passo 3: Técnicas de Exploração Manual

Explore os pontos de injeção confirmados usando métodos apropriados à técnica:

• Extração baseada em UNION: Determine o número de colunas com ORDER BY incrementando (' ORDER BY 1--, ' ORDER BY 2--, etc. até ocorrer um erro). Em seguida, construa UNION SELECT para extrair dados:

  ' UNION SELECT NULL,username,password,NULL FROM users--
  

• Extração baseada em erro (MySQL): Use EXTRACTVALUE ou UPDATEXML para forçar dados em mensagens de erro:

  ' AND EXTRACTVALUE(1,CONCAT(0x7e,(SELECT @@version),0x7e))--
  

• Extração booleana cega: Extraia dados um caractere por vez testando valores de caracteres:

  ' AND SUBSTRING((SELECT password FROM users WHERE username='admin'),1,1)='a'--
  

• Extração cega baseada em tempo: Mesma abordagem caractere por caractere usando atrasos de tempo: