Coders Conquer Security: Serie de aprendizaje y uso compartido - Inyección de código

Los ataques de inyección de código se encuentran entre los más comunes y peligrosos a los que se enfrentan muchos sitios web y aplicaciones. Varían enormemente tanto en sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte datos de usuario puede ser vulnerable. De hecho, este tipo de ataque es uno al que casi todo profesional de la ciberseguridad tendrá que enfrentarse en algún momento de su carrera, y probablemente en más de una ocasión.

Un ataque de inyección de código puede ocurrir siempre que una aplicación o sitio web acepte datos de los usuarios. Esto puede ser tan sencillo como ofrecer una función de búsqueda o pedir al usuario que introduzca su información de identificación. El ataque se produce cuando un usuario malintencionado introduce código en el campo abierto en lugar de texto normal. Su objetivo es que el servidor confunda la entrada con código válido y ejecute las funciones que el atacante desee.

Aunque los ataques de inyección de código son extremadamente comunes, también lo son las defensas disponibles para detenerlos. En este episodio, aprenderemos:

• Cómo funcionan
• Por qué son tan peligrosos
• Cómo implementar defensas para detenerlos.

¿Cómo utilizan los atacantes la inyección de código?

Aunque los detalles específicos de los ataques de inyección de código cambian según el lenguaje de programación utilizado, cualquier aplicación o sitio web puede ser vulnerable siempre que permita al usuario introducir datos. Se han desencadenado ataques de inyección de código en SQL, HTML, XML, CSS y cualquier otro lenguaje de programación común.

En primer lugar, el atacante debe localizar código vulnerable dentro de una aplicación, normalmente en un punto donde se permite a los usuarios introducir sus propios datos. Por ejemplo, este código toma la función eval() de PHP y se la pasa a un usuario para que la modifique, sin ningún tipo de validación de la cadena resultante.

$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");

Un atacante ingenioso podría añadir fácilmente su propia cadena a la función eval, incluso ejecutando comandos del sistema si así lo desea.

/index.php?arg=1; system(id)

Es importante señalar que, aunque los ataques de inyección de código pueden implicar el envío de comandos del sistema, no se limitan solo a eso. De hecho, con los ataques de inyección de código, los hackers solo están limitados por la funcionalidad del propio lenguaje. En nuestro ejemplo, un atacante podría programar el sistema objetivo para hacer casi cualquier cosa permitida por el framework de PHP.

¿Por qué son tan peligrosos los ataques de inyección de código?

Los ataques de inyección de código son potencialmente muy peligrosos dependiendo de la habilidad del atacante. Pueden hacer cualquier cosa que el lenguaje de programación permita, lo que los sitúa al mismo nivel que los programadores de la aplicación. Un atacante podría prácticamente escribir su propia aplicación y hacer que se ejecute dentro del entorno objetivo.

Incluso los atacantes menos hábiles pueden ser peligrosos. En lugar de escribir su propia aplicación o cadenas de código, pueden simplemente ordenar al sistema objetivo que acepte e instale malware preprogramado. Esto podría llevar a la desfiguración del sitio, ataques de ransomware o incluso convertirse en la base de una campaña de phishing dirigida a los usuarios del sitio.

La mayoría de las veces, los ataques de inyección de código se utilizan para robar listas de usuarios y contraseñas, o para obtener información valiosa sobre un sistema con el fin de comprometerlo aún más. Pero cuidado: un programador experto puede hacer casi cualquier cosa con un ataque de inyección de código, por lo que es fundamental que cada posible instancia sea descubierta y eliminada de su entorno.

¡No confíe en nadie! (O al menos, no en los usuarios)

Al eliminar las vulnerabilidades de inyección de código, el primer lugar donde buscar es cualquier sitio que solicite o permita la entrada de datos por parte del usuario. No se debe confiar en nada introducido por un usuario bajo ninguna circunstancia. Si permite la entrada de datos sin filtrarlos o examinarlos, básicamente está invitando a los atacantes a intentar comprometer su sistema o incluso su red.

Aunque no siempre es posible, la mejor forma de frustrar los ataques de inyección de código es evitar que las funciones ejecuten o interpreten directamente la entrada del usuario. Quizás se pueda ofrecer a los usuarios una selección de opciones estáticas en lugar de darles libertad total para introducir sus propias consultas, programando la aplicación para que solo acepte esas opciones limitadas como válidas. Puede que no siempre sea adecuado, pero utilizarlo siempre que sea posible puede eliminar las inyecciones de código antes de que comiencen.

En las áreas donde los usuarios necesitan introducir su propia información, se deben establecer controles estrictos sobre esos datos. Asumir que todo es un posible ataque es un buen punto de partida. Aplicar políticas de privilegios mínimos, como el acceso de solo lectura para el usuario, tanto en el cliente como en el servidor, puede evitar que la mayor parte del código se ejecute.

La otra buena defensa es implementar filtros y saneamiento en toda la aplicación para todo lo que introduzca cualquier usuario. Los desarrolladores conocen los ataques de inyección de código desde hace años y existen bibliotecas de filtros probados para cada marco de trabajo y lenguaje. Al aplicar esos filtros, asegúrese de hacerlo no solo en las áreas de entrada de usuario obvias o contra parámetros comunes como los comandos Get y Post, sino también contra las cookies y las cabeceras HTTP.

Aplicación de una corrección para la inyección de código

Eliminar áreas de entrada de usuario innecesarias de su entorno, aplicar principios de privilegios mínimos y utilizar las herramientas de filtrado y saneamiento más recientes para inspeccionar y detectar posibles ataques puede cerrar la puerta a esta peligrosa vulnerabilidad. Adoptar la mentalidad de no confiar nunca en la entrada del usuario también le será de gran utilidad en el futuro. Haga todo esto y podrá ir un paso por delante de este peligroso tipo de ataque.

Para seguir leyendo, puede consultar el artículo de OWASP sobre la inyección de código. También puede poner a prueba sus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a los equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad y una galería de otras amenazas, visite el blog de Secure Code Warrior.

Enfréntese a la inyección de código ahora mismo. Acepte el reto en nuestra plataforma de formación gamificada: [Empezar aquí]