Baixado 27 vezes
![Vale Security Conference - 2011 - 14 - Alexandro Silva (Alexos) [DC Labs]](https://cdn.slidesharecdn.com/ss_thumbnails/alexos-111012182936-phpapp01-thumbnail.jpg?width=640&height=640&fit=bounds)
Introdução à SQL Injection
- 1.
- 2. Características ➔ Nº 1- OWASP Top Ten (2013) ➔ Fácil aprendizado ➔ Exploração simples ➔ Comumente encontrada ➔ Nível de detecção médio ➔ Impacto tecnológico severo ➔ Alto impacto nos negócios
- 3. OWASP ➔ Comunidade livree aberta ➔ Não possui fins comerciais ➔ Extensa comunidade ➔ Grande quantidade de conteúdo ➔ Fontes de informação confiáveis
- 4. OWASP - Top10 ➔ Relatório atualizado ➔ Dados detalhados ➔ Detalhes das mudanças de cenário ➔ Altamente explicativo ➔ Propõe soluções https://www.owasp.org/
- 5. Cenário ➔ Não validaçãode inputs ➔ Estrutura simples de banco ➔ Não utilização de frameworks ➔ Acesso direto ao banco de dados
- 6. Como acontece? ➔ Levantamentode dados ➔ Inferência sobre modelo ➔ Testes de inputs ➔ Execução de código injetado ➔ Colheita de resultados
- 7. Exemplo ➔ Sistema vulnerável: ◆psscrum.herokuapp.com ➔ Código do sistema: ◆ https://github. com/bsampaio/PHP- ProjetoScrum
- 8. Como mitigar? ➔ Validaçãode inputs ◆ Front-end ◆ Back-end ➔ Utilização de frameworks ➔ Tratamento de erros e mensagens ➔ Implementação de Log
- 9. Como mitigar? ➔ Validaçãode inputs - Front-end ◆ Javascripts com Regex ◆ Campos tipados
- 10. Como mitigar? ➔ Validaçãode inputs: Back-end ◆ Regex ◆ Prepared Statements ◆ Aspas simples
- 11. Como mitigar? ➔ Frameworksseguros ◆ Java: Spring ◆ PHP: CakePHP, Zend ◆ Python: Django (QuerySets)
- 12. Exemplo ➔ Sistema comvunerabilidades mitigadas: ◆ scruuum.herokuapp.com ➔ Código do sistema: ◆ https://github. com/bsampaio/CakePHP- PSScrum
- 13. Lição ➔ Não sejaingênuo ➔ SEMPRE busque informação ➔ Pense fora da caixa ➔ Tente estar um passo à frente ➔ Teste seu software
- 14. Derrota…? Eu acho queo lado negro da força não ficou feliz com o seu conhecimento… Mas saiba que essa foi só uma de muitas batalhas. O OWASP ainda tem mais 9 ameaças classificadas como mais comuns. Se informe: www.owasp.org
- 15.
- 16. Referências ➔ https://www.owasp.org/ ➔ https://www.owasp. org/images/9/9c/OWASP_Top_10_ 2013_PT-BR.pdf ➔http://www.w3schools. com/sql/sql_injection.asp ➔ http://www.acunetix. com/websitesecurity/sql-injection/