sql injection

 Una inyección SQL (SQLi) es un tipo de ataque en el que los cibercriminales intentan explotar vulnerabilidades en el código de una aplicación insertando una consulta SQL en campos de entrada o formulario regulares, como un nombre de usuario o contraseña. Luego, la instrucción SQL se pasa a la base de datos SQL subyacente de la aplicación.

Los  ataques de inyección SQL son exitosos cuando el formulario de entrada basado en la  web permite que las declaraciones SQL generadas por el usuario consulten la base de datos directamente. Estos ataques también han proliferado con el uso de bases de código compartidas, como complementos de WordPress, que  contienen una vulnerabilidad en el patrón de código subyacente. Esta vulnerabilidad se traslada a toda la aplicación y puede afectar  a cientos de miles de sitios web que utilizan ese código compartido.

El daño puede ser grande. Un atacante con un buen conocimiento de SQL ingresa consultas en una aplicación basada en la web sin parámetros de validación de entrada implementados, luego accede fácilmente a los archivos de clientes de una empresa o a información financiera confidencial.

SQLi basado en errores

Los atacantes inyectan consultas SQL con la esperanza de que la base de datos devuelva mensajes de error, lo que puede dar a los atacantes información sobre la base de datos y su estructura. 

Error de lenguaje sql ejemplo captura