O que é uma injeção de SQL?

Uma injeção de linguagem de consulta estruturada (SQL) é um tipo de ataque que quase sempre é tentado contra um site que é orientado ao banco de dados. É um esforço para inserir código malicioso nas consultas SQL do site, a fim de interferir no gerenciamento de dados destruindo, alterando ou revelando dados armazenados nas tabelas do banco de dados que impulsionam o site. O SQL é uma linguagem de programação padrão empregada para criar, atualizar e recuperar dados armazenados em bancos de dados. Informações sensíveis, como números de cartão de crédito, registros médicos de uma pessoa, nomes de usuário e senhas para contas como bancos on -line e email, bem como vários tipos de números de identificação, podem ser expostos a criminosos cibernéticos. Embora o roubo de dados provavelmente seja o principal objetivo de quem tenta usar a injeção de SQL, não é a única motivação para o uso deste ou de qualquerOutro tipo de técnica de injeção de código, como scripts cruzados. Os visitantes de um site exibindo informações que eles não gostam podem tentar ataques de injeção de SQL para desativar o site, roubar dados ou alterar os dados para destruir a missão das pessoas por trás do site.

Às vezes, é tentado um ataque de injeção de SQL contra um site por um visitante descontente que poderia ter seu relato proibido pelos proprietários do site, que inveja a popularidade do site ou que procura destruir o negócio on -line de alguém que ele ou ela considera ser um inimigo. Obviamente, o conhecimento do SQL é necessário para lançar um ataque de injeção de SQL, mas geralmente não é considerado um idioma muito difícil de aprender, em comparação com outras linguagens de programação, e muito pode ser realizado com apenas uma compreensão básica, mas sólida, de como usá -lo. Isso significa que há um bom número de pessoas que surfamErnet que tem a habilidade necessária para tentar injeção de SQL contra um site.

Os desenvolvedores da Web, particularmente aqueles que se especializam no desenvolvimento da Web de back-end, são responsáveis ​​por garantir que os sites que eles programem sejam seguros contra a injeção de SQL. Quase sempre há mais de uma maneira de alcançar uma segurança tão importante, e a maioria desses métodos é considerada soluções simples, mas muito eficazes. Por exemplo, um desenvolvedor pode usar a função mysql_real_escape_string () ou instruções preparadas ao script na linguagem Pré -processador de hipertexto (PHP). Os métodos escolhidos para se proteger contra o ataque devem ser cuidadosamente considerados, porque o desempenho do site como um todo não pode ser desconsiderado mesmo ao configurar a segurança.