SQL Injection: come riconoscerlo e come difendersi

SQL Injection: cos'è, come riconoscerlo e difendersi

L'SQL Injection (SQLi) è una delle minacce di cybersecurity più diffuse e pericolose nel panorama attuale. Questo tipo di attacco, benché sia in circolazione da decenni, è ancora molto presente e rappresenta una minaccia costante per la sicurezza delle applicazioni web. Questo articolo si propone di spiegare in modo chiaro e approfondito cos'è l'attacco SQL Injection, come riconoscerlo e quali strategie adottare per difendersi.

Cos'è l'SQL Injection?

L'SQL Injection è un tipo di attacco hacker che si basa sull'inserimento di codice SQL (Structured Query Language) malevolo all'interno di applicazioni web che interagiscono con un database non protetto. Questo tipo di attacco sfrutta le vulnerabilità presenti nella programmazione delle API (Application Programming Interface) dell'applicazione, manipolando le richieste SQL e forzando il database ad eseguire dei comandi specifici. La vulnerabilità delle API le rende particolarmente soggette ad attacchi di tipo zero-day.
Il pericolo dell'SQL Injection risiede nel fatto che non necessita di strumenti particolari per essere messo in atto: un computer e un browser web sono sufficienti. Inoltre, ogni tipo di architettura software utilizzata per la realizzazione di siti web che interagiscono con un database è potenzialmente vulnerabile a questo tipo di attacco.

Il funzionamento dell'SQL Injection

Per meglio comprendere la natura dell'attacco SQL Injection, è utile fare un passo indietro e chiarire il funzionamento della comunicazione tra un server erogatore di servizi, dove risiede un database, ed un client che usufruisce di tali servizi.
Quando un utente visita un sito web e inserisce le proprie credenziali di accesso, queste vengono inviate al server web che, tramite l'esecuzione di uno script PHP, interroga il proprio database (ad esempio MySQL). Se le credenziali corrispondono a quelle archiviate nel database, il server risponde inviando i dati richiesti al browser del client.
In questo contesto, un attacco SQL Injection avviene quando un attaccante, sfruttando una vulnerabilità nella programmazione dell'applicazione, riesce a iniettare codice SQL malevolo nelle richieste inviate al server. Questo codice viene quindi interpretato dal database come una parte legittima della richiesta, causando comportamenti non previsti o dannosi.

Le fasi preliminari di un attacco SQL Injection

Prima di mettere in atto un attacco SQL Injection, l'attaccante deve effettuare una serie di osservazioni preliminari per individuare i punti di accesso al sistema e le eventuali vulnerabilità presenti. Queste informazioni sono fondamentali per capire come l'applicazione interagisce con il database e come è possibile manipolare le richieste SQL.
Gli elementi che indicano una possibile interazione con un database possono essere i moduli di autenticazione, i motori di ricerca presenti nel sito web, o le informazioni sui prodotti in un sito di e-commerce.
Una volta individuate le possibili porte di accesso, l'attaccante può cercare di capire il comportamento del server DB analizzando i messaggi di errore restituiti in caso di inserimenti anomali o utilizzando tecniche più sofisticate, come lo sniffing del traffico di rete.

Come si svolge un attacco SQL Injection

Un attacco SQL Injection inizia quando un hacker riesce a sfruttare un campo di input di un’API, alterandolo tramite l’immissione di codice dannoso (detto exploit) che causa l’esecuzione di comandi SQL non previsti.
Ad esempio, in un semplice caso di attacco SQL Injection, l'attaccante potrebbe inserire un comando SQL modificato nel campo "username" di un modulo di login, causando la restituzione di informazioni relative a tutti gli utenti del database, invece che a un singolo utente.
Questo avviene perché il comando SQL modificato altera la logica della query originale, facendo in modo che venga restituito ogni record del database per cui la condizione specificata nel comando è verificata.

Tipi di attacco SQL injection

Gli attacchi SQL injection possono essere divisi in tre categorie principali in base sulla loro diffusione, al metodo di attacco impiegato e al potenziale danno che possono causare:

• attacco SQLi in-band: rappresenta la forma più basilare di attacco SQL injection e permette agli hacker di lanciare un assalto e ottenere i risultati direttamente dallo stesso server. Si tratta di un metodo di attacco molto comune e semplice da realizzare
• attacco SQLi out-of-band: è focalizzato sull'estrazione delle informazioni da un database verso un altro server, e necessita che il database stesso sia in grado di gestire richieste DNS o HTTP. Pur essendo meno diffusi, gli attacchi SQLi out-of-band possono avere conseguenze più serie
• attacco SQLi inferenziale (o alla cieca): l'attacco SQLi inferenziale implica l'utilizzo di affermazioni vere o false nei confronti di un database, al fine di dedurne la struttura. Analizzando le risposte ottenute, un hacker può cominciare a individuare le vulnerabilità presenti nel database.

Le conseguenze di un attacco SQL Injection

Le conseguenze di un attacco SQL Injection possono essere devastanti. Un attaccante può ottenere un accesso non autorizzato alle applicazioni, recuperare informazioni sensibili, modificarle o eliminarle. Inoltre, una volta ottenuto l'accesso al sistema, l'attaccante può proseguire con attacchi più pesanti, come la manipolazione dei dati o l'esecuzione di routine personalizzate.
Ad esempio, un attaccante potrebbe essere in grado di accedere alle credenziali amministrative di un database, di bypassare l'autenticazione delle password, o di manipolare gli archivi digitali. Questo rappresenta un grave rischio per la sicurezza dei dati e delle logiche di elaborazione che costituiscono le transazioni SQL.

Come difendersi dagli attacchi SQL Injection

La difesa dagli attacchi SQL Injection richiede una programmazione attenta e una gestione accurata delle potenziali porte di accesso al database. Alcune buone pratiche di programmazione possono includere la validazione degli input, l'adozione di query parametrizzate, una gestione adeguata della segnalazione degli errori e una password policy aziendale che imponga l’utilizzo di password univoche, complesse e da aggiornare regolarmente. È altresì importante mantenere aggiornati i tool di produzione e gestione e adottare una corretta politica per la gestione dei privilegi SQL per gli utenti.
Inoltre, è importante prestare attenzione all'utilizzo di elementi di codice SQL potenzialmente a rischio, come virgolette singole e parentesi, che potrebbero essere sfruttati per usi non autorizzati. La disattivazione della visualizzazione delle pagine degli errori può rappresentare un ulteriore livello di protezione, in quanto queste informazioni possono fornire indizi preziosi all'attaccante.