Ataques de SQL Injection e engenharia social: analisando e explicando as técnicas de invasão

Abstract

O foco deste trabalho é compreender como funciona o mundo que engloba os testes de invasão, as ações dos pentesters que trabalham investigando os sistemas. Dessa forma, será possível compreender o funcionamento dos sistemas, levando também ao conhecimento relacionado as técnicas e conceitos utilizados pelos pentesters em seu trabalho, neste momento existirá uma abordagem mais específica a respeito da técnica de Structured Query Language (SQL) Injection, que é muito comum nos dias de hoje e se bem utilizada pode garantir diversas permissões a um atacante que esteja invadindo e explorando falhas existentes em um banco de dados, o que também pode vir a afetar todo o resto do sistema. Além disso, também será apresentada a técnica de Engenharia Social, que será utilizada para “manipular” os usuários ao invés de um sistema em si, e a partir dessa manipulação do usuário de um sistema, o atacante pode garantir vantagens para uma futura invasão que poderá ser feita a um determinado sistema. O conhecimento obtido a partir do estudo dessas técnicas poderá ser utilizado para compreender melhor qualquer sistema que virá a ser investigado, além de facilitar o entendimento do comportamento de um usuário, pode também melhorar o processo de melhoria da segurança do sistema em geral, visto que poderão ser corrigidas falhas do próprio sistema, e também falhas humanas que podem vir a ser evitadas a partir de um treinamento focado na análise da Engenharia Social. Essas técnicas serão demonstradas a partir de uma plataforma criada no Kali Linux, que é um dos ambientes mais comuns a serem utilizados para esse tipo de teste. Ao longo do projeto serão utilizadas ferramentas baseadas em Linux, além de alguns comandos utilizados nas mesmas.

The focus of this work is to understand how the world that encompasses penetration tests works, such as the actions of the pentesters who work investigating the systems. In this way, it will be possible to understand the functioning of the systems, also leading to related knowledge such as techniques and concepts used by the pentesters in their work, at this moment there will be a more specific approach regarding the Structured Query Language (SQL) Injection technique, which is very common nowadays and if well used, it can guarantee several flaws to an attacker who is invading and exploiting existing flaws in a database, which can also affect the rest of the system. In addition, there will also be and some Social Engineering techniques, which will be used to "manipulate" the users instead of a system itself, and from the manipulation of the user of a system, the attacker can guarantee advantages for a future invasion that can be made to a given system. The knowledge obtained from the study of these techniques can be used to better understand any system that will be investigated, in addition to facilitating the understanding of a user's behavior, it can also improve the process of improving the security of the system in general, since flaws in the system itself can be corrected, as well as human flaws that can be avoided through training focused on the analysis of Social Engineering. These techniques will be demonstrated using a platform created on Kali Linux, which is one of the most common environments used for this type of test. Throughout the project, Linux-based tools will be used, in addition to some commands used in them.