Protección para ataques de inyección SQL para la web corporativa del puerto marítimo de Barcelona

Abstract

[ES] El puerto de Barcelona está gestionado por la Autoridad Portuaria de Barcelona, perteneciente a Puertos del Estado. La autoridad portuaria utiliza la web corporativa para controlar todas las gestiones relacionadas con su actividad como, por ejemplo: usuarios, barcos, facturas y recibos, la pesca etc.

Los ataques basados en inyección SQL se basan en insertar código SQL invasor dentro del código SQL programado, con el fin de modificar el funcionamiento normal del programa y lograr así que se ejecute la porción de código incrustado, en la base de datos. Normalmente, este tipo de intrusión es de carácter malicioso, dañino o espía, por tanto, es un problema de seguridad informática, y debe ser tomado en cuenta para poder prevenirlo.

Con este proyecto se quiere proteger la web corporativa del puerto marítimo de Barcelona frente este tipo de ataques y evitar que se pueda insertar código SQL invasor dentro del código SQL programado.

Para eliminar el problema de la inyección de SQL debemos de hacer uso de consultas parametrizadas. Estas consultas no concatenan las variables a la consulta SQL sino que usan una sintaxis específica para pasar a la consulta SQL un conjunto de parámetros predeterminado. De esta forma la consulta es primero precompilada para más adelante recibir los valores de los parámetros, pero sin posibilidad de que la consulta (tablas, índices y joins) sea modificada.