inyección SQL ¿Hay casos en que una URL vulnerable no contenga el símbolo 'igual' (=)

Las inyecciones de SQL se pueden realizar en cualquier parte de la solicitud. Cualquier parámetro de la solicitud HTTP puede contener datos SQL que pueden engañar a la aplicación para que la inyecte en la base de datos.

Por ejemplo, Amazon tiene los ID de producto en la URL enlace Esto se llama reescritura de URL y el servidor web extrae el ID del producto de la URL y lo utiliza para consultar la base de datos.

Sin tener disponible el código fuente, no hay forma de saber qué consultas SQL se están realizando. Una aplicación web puede realizar un DNS inverso en la dirección IP de conexión e insertar ese nombre en la base de datos. Pero la IP puede resolverse en una cadena que realiza una inyección de SQL.

Estas son algunas de las formas de obtener variables de la URL en la aplicación web:

• Wikipedia usa los dos puntos (:). Ejemplo: enlace
• las aplicaciones JavaScript pueden usar fragmentos (#) como entrada. ej .: enlace
• Tilde (~) fue popular una vez. ej: enlace
• Puede encontrar enlaces de controladores de protocolo como data: o javascript: que pueden pasar datos indirectamente a la aplicación web. ej: javascript:addtocart(5)

Al analizar sus enlaces, recuerde que los caracteres pueden estar codificados en URL.

Es posible que no contenga el signo igual, incluso si no se ha reescrito la URL, pero dependerá de qué tan mal esté codificado el sitio web.

Cualquier parte de la url web, que dará como resultado una consulta de SQL, podría usarse para realizar una inyección de SQL si no se la desinfecta correctamente.

Las variables de obtención podrían pasarse sin valor, solo la definición.

Considera este ejemplo:

URL: http://site.com/user.php?user-1234

Código:

foreach ($_GET as $k => $v) {
    $k2 = explode('-', $k);
    if ($k2[0]='user') $res=$k2[1];
}
//do sql query with $res

Toda la entrada es vulnerable a la inyección de SQL, por lo que siempre debe filtrar y verificar en el lado del servidor. No se preocupe por el origen, solo en el momento en que esté utilizando una variable del usuario, por leer un archivo, más o menos en el momento en que no tenga el valor codificado, debe hacer el escape y la verificación adecuados.

Si aún no está familiarizado con OWASP, le sugiero que comience con su guía sobre Inyección de SQL .

No confiaría en la cadena igual como detector, puede que obtengas una inyección SQL que cambia la funcionalidad o dispara un cheque booleano con un simple ataque de inyección de comentarios.

También, como se indica en las otras respuestas, si filtra por cadenas de consulta, pierde las páginas que procesan los datos de formularios transmitidos mediante el método POST . Por ejemplo, si tiene la url que procesa los resultados de un envío de formulario, es posible que no tenga ningún parámetro de obtención, pero aún será posible la inyección de SQL cuando se procesen los valores de POST . Leí su publicación completa, pero no estoy seguro de por qué no querría verificar todos los formularios de entrada si está haciendo el esfuerzo de probar su aplicación. Es mejor ejecutar algunas herramientas automatizadas como nikto, escáner de burp , o AppScan si tiene los fondos.

Parece que estás haciendo un gran esfuerzo para cubrir solo una parte del problema. Además, si tiene el código fuente, comenzaría allí si fuera un programador en lugar de identificar las páginas, porque podría haber varias páginas que llamen a la misma función.

Respuesta corta no, no puede asumir que solo las URL con un = en ellas son posibles vectores para la inyección de SQL.

El problema con esta suposición es que ignora el uso de los controladores de contenido y los marcos web que usan la información de la ruta url para determinar a qué controlador / procedimiento se llama y cómo manejar la información de la ruta. Considere muchos servicios basados en REST que utilizan este enfoque, así como muchos marcos web populares.

Podría tener una URL como

enlace

donde se llama al manejador y se pasa aargement1, aargement2 y aargement3. Dependiendo de cómo se implementa el manejador y de lo que hace, puede proporcionar fácilmente un vector para la inyección de SQL.