Inyecciones SQL y XSS en la práctica

La inyección SQL ocurre cuando una aplicación concatena directamente texto introducido por el usuario en una cadena de consulta SQL (por ejemplo: SELECT * FROM usuarios WHERE email = ' + email + '). Si el usuario introduce ' OR '1'='1, la estructura lógica de la consulta cambia por completo, haciendo que la base de datos devuelva todos los registros de la tabla o salte la verificación de contraseña.

Intentar filtrar comillas o palabras clave con listas negras (replace('OR', '')) es una receta para el desastre, porque los atacantes usan codificaciones alternativas o mayúsculas. La defensa definitiva son las consultas preparadas con vinculación de parámetros (Prepared Statements / Parameterized Queries). En una consulta preparada, el motor compila la estructura SQL primero, y los datos del usuario se envían como parámetros aislados que jamás pueden interpretarse como código ejecutable.

Si una aplicación web toma un dato del usuario (como un comentario en un foro o un parámetro en la URL) y lo imprime en la página HTML sin codificar caracteres especiales (<, >, "), un atacante puede insertar etiquetas <script>. Cuando otros usuarios visitan la página, su navegador ejecuta ese JavaScript en el contexto de su propia sesión, permitiendo al atacante robar cookies de autenticación, suplantar su identidad o capturar pulsaciones de teclado.

Para erradicar el XSS se aplican dos niveles defensivos: 1) Codificación contextual de salida (HTML Entity Encoding): convertir < en < para que el navegador lo muestre como texto y no como una etiqueta HTML. 2) Cabeceras de seguridad como Content Security Policy (CSP), que restringen qué scripts tiene permiso para ejecutar el navegador, bloqueando scripts en línea (inline scripts) e impidiendo la carga de código desde dominios externos no autorizados.