Testes de Vulnerabilidades de Injeção

A injeção ocorre quando dados não confiáveis são enviados a um interpretador como parte de um comando ou consulta. O interpretador não consegue distinguir dados de comandos e executa uma lógica controlada pelo invasor. Injeções de SQL, de comandos, de LDAP, de XPath e de modelos pertencem a essa classe.

Comece com cargas úteis simples para investigar a possibilidade de injeção de SQL. Uma aspa simples causa um erro de sintaxe SQL em aplicações vulneráveis. Verifique mensagens de erro, diferenças no tamanho das respostas e o tempo de resposta.

O SQLMap automatiza a detecção e a exploração de injeções de SQL: detecta pontos de injeção, identifica o DBMS e pode extrair bancos de dados, usar read em arquivos e obter execução de código no OS em sistemas vulneráveis.

A injeção de comandos ocorre quando a entrada do usuário é passada para funções do shell do OS. Teste com metacaracteres do shell: ponto e vírgula, pipes, crases e substituição de comandos com $().

A injeção de LDAP manipula consultas LDAP usadas para autenticação e pesquisas em diretórios. Teste os campos de autenticação com: *)(uid=*))(|(uid=* para contornar filtros.

A injeção de XPath tem como alvo sistemas de autenticação baseados em XML. É semelhante à SQLi: as cargas úteis manipulam consultas XPath, como ' or '1'='1, para contornar a autenticação.

A injeção de modelos do lado do servidor ocorre quando a entrada do usuário é renderizada em um mecanismo de modelos (Jinja2, Twig, Freemarker). Para detectá-la, injete {{7*7}}: se a resposta mostrar 49, existe SSTI.

Envie solicitações ao Repeater e injete manualmente cargas úteis em cada parâmetro. Use o Intruder para automatizar testes com listas de palavras para injeção (o SecLists contém excelentes cargas úteis de injeção).

Quando não há saída visível, use: atrasos de tempo para confirmar a execução, retornos DNS fora de banda (Burp Collaborator ou interactsh) e respostas baseadas em booleanos (alterações no tamanho do conteúdo).

Erros detalhados revelam o tipo de banco de dados, a estrutura da consulta e os caminhos dos arquivos — informações inestimáveis para criar cargas úteis precisas. Sempre teste com entradas de depuração ou que revelem erros, além das cargas úteis normais.

A injeção é prevenida por: consultas parametrizadas (SQLi), validação de entradas e escape do shell (injeção de comandos), além de evitar a renderização de entradas do usuário em modelos (SSTI). Os desenvolvedores precisam entender essas medidas para escrever código seguro.

O que a carga útil de detecção de SSTI {{7*7}} confirma quando a resposta mostra 49?

As vulnerabilidades de injeção são causadas pela mistura de dados e comandos. Teste todas as entradas controladas pelo usuário com cargas úteis de injeção de SQL, de comandos, de modelos e de LDAP. Use o SQLMap para injeção de SQL automatizada, o Burp Repeater para testes manuais e técnicas de atraso de tempo ou OOB para exploração cega. Sempre documente as cargas úteis e as evidências no relatório.