SQL Injection

SQL Injection

1. O que é ?

   • Digitar comandos SQL nos inputs de formulários da aplicação

2. Como estar vulnerável ?

   • Se os valores digitados pelos usuários nos campos forem concatenados diretamente nos comandos SQL, sem ser realizada uma validação ou tratamento antes

3. Exemplos Famosos

   • Samy Worm
     • Usuário que visitasse seu perfil no MySpace automaticamente o adicionava como amigo e também adicionava na página da vítima uma categoria chamada My heroes com o texto: but most of all, Samy is my hero.

4. Cross-Site ScriptingCross-Site Scripting

   • Através de um XSS, o cracker injeta códigos JavaScript em um campo texto de uma página já existente e este JavaScript é apresentado para outros usuários, porque persiste na página.

5. Organizações que Documentam falhas

   • OWASP (Open Web Application Security Project)
     • Comunidade online que cria e disponibiliza de forma gratuita artigos, metodologias, documentação, ferramentas e tecnologias no campo da segurança de aplicações web.

6. Implementação para prevenção de ataques

   • OWASP AntiSamy Project - Biblioteca Java