SQL Injection (SQLi)

La consulta a la base de datos se construye concatenando texto del usuario.

​

SQL Injection (SQLi)

La consulta a la base de datos se construye concatenando texto del usuario.

Categoría: Web · OWASP Top 10

🎯 Trinchera — La consulta a la base de datos se construye concatenando texto del usuario. Inyectas SQL malicioso y la BD lo ejecuta como si fuera del backend.

🔗 Kill chain — Requisito: parámetro vulnerable. Movimiento siguiente: extracción de datos → bypass de auth → RCE vía INTO OUTFILE (MySQL) o xp_cmdshell (MSSQL) → escalada a sistema.

📡 Huella defensiva — Errores SQL en la respuesta HTTP, tiempos de respuesta anómalos (blind SQLi), múltiples requests con ' OR 1=1 o variantes. WAF detecta firmas básicas trivialmente.

⚠️ Falso amigo — Lanzar sqlmap con flags por defecto en producción. Genera miles de peticiones, dispara el WAF en segundos y te baneará por IP en el primer minuto.

🛡️ Remediación — Consultas preparadas (parameterized queries) siempre. Nunca concatenar. ORM bien usado (no raw()).

// VULNERABLE
$sql = "SELECT * FROM users WHERE email = '" . $_POST['email'] . "'";

// SEGURO (PDO)
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$_POST['email']]);

---

← Volver al glosario completo

Última actualización: 2026-06-11