Mitigação de ataques SQL injection em aplicações Web MySQL: uma abordagem prática com prepared statements, filtragem de dados e stored procedures

Abstract

O banco de dados é um componente essencial de sistemas computacionais que interagem com usuários externos, armazenando e manipulando dados sensíveis. Nesse contexto, ataques de SQL Injection representam uma ameaça significativa, capazes de comprometer a confidencialidade, integridade e disponibilidade das informações. Este trabalho propõe boas práticas para mitigar ataques SQL Injection In-band (Error-based, Union-based e Boolean-based) em aplicações web MySQL, com foco em Prepared Statements, filtragem de dados e Stored Procedures. Para ilustrar essas técnicas, foi desenvolvida a aplicação Bear Bank, intencionalmente vulnerável, que permite simular ataques e testar as contramedidas propostas. A aplicação serve como um recurso educativo, permitindo que estudantes e profissionais pratiquem ataques e analisem o comportamento das contramedidas em tempo real. O trabalho destaca a importância de integrar práticas de segurança desde as etapas iniciais do desenvolvimento, seguindo princípios da cultura DevSecOps, e conclui que a combinação de técnicas como Prepared Statements, filtragem de entrada e Stored Procedures é essencial para fortalecer a segurança de aplicações web contra SQL Injection.