SQL Injection ainda é um vetor de ataque crítico

Por que injeção SQL?

• Os ataques de injeção de SQL são baratos e fáceis de executar, e as consequências podem ser desastrosas para as vítimas. Sem dúvida, esse método continua popular entre os hackers.
• Como a maioria dos aplicativos de hoje é orientada por dados e acessível na web, as falhas de injeção de SQL são inevitáveis ​​e facilmente exploradas. Além disso, a crescente popularidade da infraestrutura de banco de dados compartilhada permitiu que os hackers abusassem das vulnerabilidades de injeção de SQL, impactando os aplicativos que compartilham o mesmo banco de dados.
• Em ataques de injeção de SQL, os perpetradores extraem e divulgam facilmente dados confidenciais, apagam o conteúdo do banco de dados, falsificam identidades, alteram transações e forçam o aumento de privilégios para se tornarem administradores do servidor de banco de dados.

Ataques de injeção SQL recentes

• Recentemente, os agentes de ameaças roubaram e-mails e hashes de senha de 8,3 milhões de usuários de Freepik e Flaticon em um ataque de injeção de SQL no site Flaticon. Desde a violação de dados, a Freepik tem usado o bcrypt para fazer hash de todas as suas senhas de usuário e realizar uma auditoria completa dos sistemas de segurança internos e externos com especialistas em segurança externos.
• Hackers foram encontrados visando ativamente as vulnerabilidades de segurança de injeção de SQL no plugin Regras de desconto para WooCommerce WordPress. Um influxo de ataques foi observado a partir de um endereço IP, que tentou injetar um script no gancho do modelo WooCommerce. Além da injeção de SQL, o plug-in Regras de desconto para WooCommerce tem várias vulnerabilidades, como problemas de autorização e Cross-Site Scripting (XSS) armazenado não autenticado.
• Vários alunos de Stanford se inscreveram no Link, um site voltado para os usuários e suas paixões. O site foi considerado vulnerável à injeção de SQL, que pode ter comprometido os dados de muitos dos usuários. Um jornal diário recebia um e-mail de um indivíduo anônimo, contendo dados do usuário do site, junto com uma planilha anexa que continha endereços de e-mail, nomes e crushes de cerca de 100 usuários. Além disso, o indivíduo compartilhou capturas de tela e um vídeo gravado na tela do suposto hack.

Aqui vai uma dica

Adote estratégias que possam ajudar a responder com mais segurança a campos de entrada de usuários mal-intencionados. No entanto, a melhor e mais fácil maneira de evitar ataques de injeção de SQL é impedir que as entradas maliciosas ocorram em primeiro lugar.

Fonte: https://cyware.com/news/sql-injection-is-still-a-critical-attack-vector-e535dcc3