Regex Bypass to SQLi

A injeção SQL continua sendo uma das vulnerabilidades mais prevalentes e perigosas de aplicações web, e entender como os filtros de segurança falham é fundamental tanto para atacantes quanto para defensores. A validação de entrada baseada em regex é uma abordagem comum, mas fundamentalmente falha para prevenir injeção SQL. Este tutorial de injeção SQL explora como falhas de sensibilidade a maiúsculas e minúsculas e expressões regulares incompletas podem ser contornadas para obter comprometimento total do banco de dados.

Por que filtros regex falham contra injeção SQL

Muitos desenvolvedores tentam prevenir injeção SQL usando expressões regulares para bloquear palavras-chave SQL perigosas como SELECT, UNION, DROP e INSERT. No entanto, essa abordagem tem várias fraquezas críticas. Filtros sensíveis a maiúsculas e minúsculas que bloqueiam apenas palavras-chave em maiúsculas podem ser contornados usando sintaxe em minúsculas ou caixa mista - SeLeCt é funcionalmente idêntico a SELECT na maioria dos bancos de dados SQL. Além disso, as âncoras regex como ^ e $ se comportam de forma diferente dependendo dos flags. Quando o flag re.MULTILINE do Python é usado, essas âncoras correspondem ao início e fim de cada linha ao invés da string inteira, permitindo que atacantes contornem a validação injetando caracteres de nova linha.

Técnicas de injeção SQL baseada em UNION

Uma vez que um filtro regex é contornado, atacantes podem utilizar injeção SQL baseada em UNION para extrair dados do banco de dados. O operador UNION combina os resultados de duas instruções SELECT, permitindo que um atacante adicione uma consulta que recupera dados de qualquer tabela acessível. Esta técnica de tutorial de injeção SQL requer corresponder o número de colunas na consulta original e é um dos métodos mais poderosos de extração de dados. Combinada com funções específicas do SQLite como sqlite_master, atacantes podem enumerar todo o esquema do banco de dados e extrair todos os dados armazenados.

Lições para desenvolvimento seguro

A falha dos filtros de injeção SQL baseados em regex ilustra um princípio fundamental de segurança: abordagens de lista negra são inerentemente frágeis. Consultas parametrizadas (prepared statements) são a única defesa confiável contra injeção SQL porque separam código de dados no nível do protocolo do banco de dados. A validação de entrada deve complementar - nunca substituir - consultas parametrizadas, e os controles de segurança devem ser testados contra técnicas de bypass conhecidas para verificar sua eficácia.