¿Es mi proveedor vulnerable a la inyección de SQL?

No he trabajado con sistemas de nómina y no sé cuántos años tiene usted. Sé que a menudo tienen que admitir formatos de datos antiguos, por lo que podría ser que necesiten hacer esto por compatibilidad. Aun así, esto es indicativo de un sistema defectuoso y de una compañía que no tiene los recursos para arreglar su software. No se sigue inmediatamente que es vulnerable a la inyección de SQL. Sin embargo, vale la pena echarle un vistazo.

Está escrito en los contratos que tenemos con los proveedores que permiten una evaluación de seguridad si queremos.

Mi consejo es que les pida la documentación de sus evaluaciones de seguridad y si no está satisfecho, dígales que necesita hacer su propia evaluación de seguridad. A menos que hayan contratado a una empresa externa y tengan un informe completo (más de una página, digamos), y puedan mostrar un historial de evaluaciones y mejoras, entonces probablemente no debería estar satisfecho. Entonces puedes contratar a alguien para que lo haga o hacerlo tú mismo si te sientes cómodo haciendo eso.

No significa necesariamente que sean vulnerables. Es posible que lo hayan eliminado solo por paranoia.

Sin embargo , en mi libro es una mala práctica hacerlo. Estás cambiando el nombre , no es como un identificador donde la restricción de caracteres no importaría demasiado, y ni siquiera significa que estés a salvo.

Por otra parte, el hecho de que se eliminó el día después de cambiarlo sugiere que no se realiza un filtrado en la entrada, sino que tienen un proceso nocturno vulnerable que se rompió debido a la 'y luego alguien lo eliminó.

Estoy de acuerdo en que vale la pena investigar sus prácticas de seguridad. También tenga en cuenta que es mejor descubrir problemas temprano que tarde. Estoy seguro de que, si es necesario, podría volver a migrar desde ese sistema, mientras que en un año un problema que provocó la pérdida de todos los datos de nómina almacenados allí podría no hacerlo.

Sin embargo, es causa de sospecha grave y, posiblemente, indicativo de otros problemas:

Si el sistema fuera, en este caso, vulnerable a la inyección de SQL, su actualización habría fallado:

UPDATE users SET first_name = '?' WHERE user_id = ?;
UPDATE users SET first_name = 'O'Henry' WHERE user_id = 1; //substituting without escaping

Como puede ver, el analizador de SQL ve first_name = 'O' , pero como Henry no coincide con una palabra de control, generará un error.