Fundamentos de Banco de Dados Com Intuito do Conhecimento em Sql Injection

SQL significa Sistemas Gerenciadores de Banco de Dados com a seguinte função: alterar e manipular dados a fim de facilitar a organização dos dados. Existem algumas ferramentas que servirá na criação de scripts. Esses scripts são códigos de programação capazes de fazer com que altera o sistema de um computador. Em banco de dados existem tabelas onde são armazenadas as informações dos clientes, dos administradores, dos usuários dentre outros tipos de cadastros.  Um exemplo típico de criação de tabela em SQL:

CREATE DATABASE UEMG

O script acima CREATE significa “criar” e DATABASE significa “base de dados”, então foi criado uma estrutura lógica, onde serão armazenados os dados e definimos UEMG como o nome do nosso banco de dados.

USE UEMG

O script acima USE significa “usar” estabelecer uma conexão com o banco de dados para que o que for criado seja armazenado de forma correta.

CREATE TABLE CADASTRO

(

NOME CHAR (50) NOT NULL,

SENHA CHAR (20) NO NULL,

TIPO CHAR (1) NOT NULL

)

SELECT * FROM CADASTRO

O script acima resume como se cria uma tabela e a tabela criada é chamada de cadastro, onde se abre o parêntese para iniciar e logo abaixo é onde será informado o conteúdo que irá conter a sua tabela, então nessa tabela irá conter nome, senha e tipo. O comando CHAR (50), CHAR (20) e CHAR (1) indica que o nome não pode ultrapassar 50 caracteres a senha não poderá ultrapassar 20 caracteres e o tipo não poderá ultrapassar 1 caractere, o comando NOT NULL indica que todos os campos não poderão ser nulos e para finalizar a sua tabela é só fechá-la com o parênteses. Executando o comando SELECT * FROM CADASTRO que significa: selecione todos os campos da tabela cadastro, com isso irá mostrar todo o conteúdo da tabela em linhas e colunas.

            Chegamos à parte que é a mais dolorosa para os iniciantes e a mais complicada, isso se dá pelo fato de que os iniciantes se esquecem um pouco da segurança e pensa só em querer ver o seu site publicado o mais rápido possível. Feito isso o que acontece o usuário cria uma simples área de login e cadastro pedindo para que usuário que desejar cadastrar no seu site informar o nome e senha, com isso deixando vulnerável o seu site. As pessoas que tem intenções maliciosas usam esses erros para se aproveitar e obter as senhas principalmente a do administrador do site. O invasor ele irá tentar aplicar uma injeção de SQL na DATABASE do site que é onde fica o banco de dados contendo os nomes e as senhas dos clientes e claro a do administrador. Segue abaixo um simples código que o invasor poderia usar para tentar invadir o seu site:

SELECT SENHA, NOME, ADMIN FROM CADASTRO WHERE NOME=” OR ‘1’ AND SENHA=” OR ’1’

O script acima será digitado após o endereço do site que deseja invadir a fim de pedir para selecionar a senha e o nome dos usuários da tabela cadastro, WHERE significa “quando”, OR significa “ou”, AND significa “e”, o número 1 quer dizer na linguagem da informática “verdadeiro” e o 0 quer dizer “falso”, com isso o invasor pede para buscar o nome e a senha dos usuários quando nome for igual a 1 e senha igual a 1 o que isso quer dizer: o valor que irá retornar será verdadeiro porque na tabela cadastro existem usuários cadastrados e esses usuários recebem valores verdadeiros e não falsos.

Os usuários por simples descuido na hora de programar ou até mesmos programadores esquecem de se preocupar um pouco mais com a segurança e no final acaba acontecendo o que ninguém quer que aconteça com suas informações que é parar na mão de quem não deve. Mas leve em consideração um simples banco de dados seguro não é fácil de fazer e principalmente mantê-lo seguro é mais difícil ainda.