¿Qué son?

Al igual que la crecida de un río, el desbordamiento de un búfer puede causar daños considerables. Para entender por qué, empecemos por el origen del problema. En los lenguajes de bajo nivel que acceden a la memoria y escriben en ella, una parte de esta memoria permanece asignada para datos temporales que deben guardarse durante el tiempo de ejecución. Esta parte de la memoria se denomina búfer. Un desbordamiento del búfer se produce cuando los datos que hay que guardar superan el espacio de memoria asignado en el búfer.

Ejemplos de desbordamiento del búfer

Como puedes ver en la imagen de la derecha, la memoria se compone de diferentes partes. Entre la pila y el montón hay una zona de memoria intermedia, que permite que ambas crezcan durante el tiempo de ejecución. Si observamos una pila en detalle, podemos ver diferentes secciones:

¿Qué son?

Inyección de código es un término general para un tipo de vulnerabilidad de software donde la entrada no validada es evaluada por una aplicación. Es bastante común en aplicaciones web que se basan en la entrada del usuario a través de formularios que carecen de una validación adecuada de los datos de entrada/salida. Este fallo puede ser explotado por los atacantes mediante la inyección de código malicioso en la aplicación, que luego será ejecutado por el intérprete del lado del servidor para ese lenguaje.

Las consecuencias de la inyección de código pueden ser nefastas:

¿Qué es el Cross-Site Scripting?

¿Qué son?

De noviembre de 2017 a marzo de 2019, el 65% de los ataques a aplicaciones web en todo el mundo utilizaron inyección SQL (SQLi). Así que no es de extrañar que los ataques de inyección fueran nombrados como la amenaza número uno para las aplicaciones web por el Open Web Application Security Project (OWASP).

Si te estás preguntando por qué los ataques SQLi son tan frecuentes, es porque los formularios web que utilizan consultas SQL para recuperar datos son comunes. Desde páginas de inicio de sesión a consultas de búsqueda, formularios de pedidos en línea, etc., estos formularios web suelen estar conectados a bases de datos con información potencialmente valiosa, como datos personales y registros financieros.

Al atacar formularios web, los atacantes pueden eludir otros tipos de seguridad, como cortafuegos y defensas de punto final. Los conocimientos necesarios para llevar a cabo un ataque de inyección están fácilmente disponibles en línea.

Los atacantes utilizan SQLi para extraer datos, como contraseñas e información de tarjetas de crédito. Pueden añadir, modificar o eliminar registros en la base de datos, realizar operaciones de base de datos como cambiar credenciales o eliminar tablas enteras, y mucho más. Cualquier base de datos que utilice lenguaje de consulta estructurado (SQL) es vulnerable a SQLi, incluidos Microsoft SQL Server, Oracle, MySQL, PostgreSQL y MongoDB.