3 minutos de leitura
Autor(a)
Gabriel é desenvolvedor e instrutor com foco em Java, Ionic e Node.js.
Fique por dentro de conteúdos, insights e oportunidades do universo tech. Receba novidades e lançamentos direto no seu e-mail.
Criei uma situação hipotética de desenvolvimento de faturas para uma nova fintech no artigo de JSON e sugeri a seguinte situação problema: O que acontecerá quando persistir em suas aplicações o nome de uma cliente que, porventura, se chame, digamos, Joana D'arc?
Uma das informações que você precisará cadastrar na fatura a ser paga é o nome da pessoa debitada. Sendo assim, para simplificar, suponham que terá uma string de SQL apenas para cadastrar esse nome.
Algo como INSERT INTO faturas ( nome_completo ) VALUES ( 'Gabriel Leite' ). Agora vejam como ficaria essa mesma instrução se o nome da cliente em questão fosse Joana D'arc: INSERT INTO faturas ( nome_completo ) VALUES ( 'Joana D'arc' ).
Perceba que certamente o banco de dados não vai conseguir interpretar corretamente a parte do VALUES. Na prática, ele vai considerar que as aspas simples após o D da palavra D'arc terminam a string 'Joana D', fazendo com que o trecho arc') fique "solto" na instrução, resultando num erro.
Imagine, agora, que o valor recebido em nome_completo seja algo ataque da peste'); DROP TABLE clientes; DROP TABLE faturas; --. Isso fará com que nossa instrução completa seja INSERT INTO faturas ( nome_completo ) VALUES ( 'ataque da peste' ); DROP TABLE clientes; DROP TABLE faturas; -- ).
Perceba que neste caso foram acrescentadas duas instruções de exclusão das tabelas clientes e faturas. Algo grave e que faria sua empresa ficar sem clientes e sem faturas, praticamente indo a falência.
Este é um tipo de ataque de cibernético muito famoso conhecido como SQL Injection. E é claro, existem diversas variações possíveis para esse tipo de ataque.
Você pode estar pensando: “Ora, nesse caso é fácil de resolver! Basta remover as aspas, os parênteses e os demais caracteres especiais das informações que o usuário nos passar. Aliás, esse processo é chamado de sanitização”
A boa notícia é que existem bibliotecas nas principais linguagens que resolvem esta situação. Afinal de contas, se fôssemos resolver este problema utilizando expressões regulares, perderíamos muito tempo e ainda poderíamos não tratar todos os casos.
Normalmente quem faz esse papel de sanitização é o próprio driver de conexão com o BD.
Nada mais justo, uma vez que os drivers são bibliotecas desenvolvidas pelas empresas desenvolvedoras dos sistemas gerenciadores de banco de dados. E com isso resolveremos o "problema da Joana D'arc" bem como evitaremos que strings maliciosas sejam executadas em nosso BD.
// NodeJS
const connection = // Cria a conexão com o BD.
const sql = 'INSERT INTO faturas ( nome_completo ) VALUES (?)';
connection.query(sql, ["Joana D'arc"], function (error, results, fields) {
if (error) throw error;
// ...
});
// Java
Connection connection = // Cria a conexão com o BD.
String sql = "INSERT INTO faturas ( nome_completo ) VALUES (?)";
PreparedStatemend ps = connection.prepareStatement(sql);
ps.setString(1, "Joana D'arc");
ps.execute();
// PHP
$query = "INSERT INTO faturas ( nome_completo ) VALUES (:nome)";
$statement = $this->con->prepare($query);
$statement->bindValue(":nome","Joana D'arc");
$statement->execute();
Agora é sua vez: mãos à massa!
Os cursos de segurança web em java da Alura ensinam as boas práticas para enxergar vulnerabilidades que podem existir em uma aplicação web java e muito mais. Acesse ao primeiro curso clicando aqui e proteja suas aplicações de diferentes ataques e ameaças.
Avalie este artigo
