De la Seguridad del acceso a datos en aplicaciones ASP ... - Willy .Net

SELECT au_lname, au_fname FROM authors WHERE au_id = '172-32-xxxx'
Un usuario malintencionado puede escribir el siguiente texto en el campo de entrada
de la aplicación (por ejemplo, un control de cuadro de texto).
' ; INSERT INTO jobs (job_desc, min_lvl, max_lvl) VALUES ('Important Job', 25,
100) -
En este ejemplo, se inserta una sentencia INSERT (pero podría ejecutarse cualquier
instrucción que se permita en la cuenta utilizada para conectarse a SQL Server). El
código puede ser especialmente dañino si la cuenta es miembro de la función
sysadmin (permite utilizar comandos del Shell mediante xp_cmdshell) y SQL
Server se ejecuta en una cuenta de dominio con acceso a otros recursos de la red.
El comando anterior produce la siguiente cadena SQL combinada:
SELECT au_lname, au_fname FROM authors WHERE au_id = '';INSERT INTO jobs
(job_desc, min_lvl, max_lvl) VALUES ('Important Job', 25, 100) --
En este caso, el carácter de comilla sencilla (') que inicia la entrada rogue termina el
literal de cadena actual de la instrucción SQL. Cierra la instrucción actual únicamente
si el siguiente testigo analizado no tiene sentido como continuación de la instrucción
actual, pero sí como inicio de una nueva instrucción.
SELECT au_lname, au_fname FROM authors WHERE au_id = ' '
El carácter de punto y coma (;) indica a SQL que se inicia una nueva instrucción, a la
que sigue el código SQL malintencionado:
; INSERT INTO jobs (job_desc, min_lvl, max_lvl) VALUES ('Important Job', 25,
100)
Nota: No es obligatorio utilizar el punto y coma para separar instrucciones SQL.
Depende de la implementación o el proveedor, pero no es necesario en SQL
Server. Por ejemplo, SQL Server analizará el código siguiente como dos
instrucciones independientes:
SELECT * FROM MyTable DELETE FROM MyTable
Por último, la secuencia de caracteres de guión doble (--) es un comentario SQL
que indica a SQL que omita el resto del texto; en este caso, se omite el carácter de
comilla sencilla de cierre ('), que de otra forma provocaría un error de análisis de
SQL.
El texto completo que ejecuta SQL como resultado de la instrucción anterior es el
siguiente:
SELECT au_lname, au_fname FROM authors WHERE au_id = '' ; INSERT INTO jobs
(job_desc, min_lvl, max_lvl) VALUES ('Important Job', 25, 100) --'