Otras inyecciones: comandos, plantillas, cabeceras y más

Qué es

Todas las inyecciones comparten la misma idea: un dato del usuario acaba mezclado con una orden y el sistema que la interpreta no distingue dónde termina una y empieza el otro. La inyección SQL es la más conocida, pero el mismo error aparece en cualquier lenguaje que la aplicación construya con texto.

Tipos frecuentes

• Inyección de comandos: el dato llega a una orden del sistema. Caracteres como ;, | o $() permiten encadenar órdenes propias.
• Inyección de plantillas en el servidor (SSTI): el texto del usuario se procesa como plantilla (Jinja2, Twig, Freemarker…). Una prueba clásica es escribir {{7*7}} y ver si aparece 49. Suele acabar en ejecución de código.
• CRLF en cabeceras HTTP: saltos de línea (%0d%0a) en un valor que va a una cabecera permiten añadir cabeceras propias, como cookies, o partir la respuesta.
• Inyección en correos (SMTP): saltos de línea en campos como el asunto o el remitente que añaden destinatarios o cambian el mensaje.
• LDAP, XPath, NoSQL: consultas a directorios o bases de datos no relacionales construidas con texto del usuario. En NoSQL es típico enviar operadores como {"$ne": null} en lugar de un valor.
• Inyección de argumentos: el dato no rompe la orden, pero se interpreta como una opción (--output=…) del programa al que se llama.

Cómo se busca

1. Identifica a qué sistema llega cada dato: una orden, una plantilla, una cabecera, un correo, una consulta.
2. Prueba los caracteres especiales de ese sistema concreto y observa si cambian la respuesta, el tiempo o el resultado.
3. Para las inyecciones a ciegas, usa esperas o peticiones a un servidor propio para confirmar la ejecución.

Cómo se evita

• Pasar los datos por separado de la orden: APIs que reciben los argumentos en una lista, consultas parametrizadas, variables de plantilla en lugar de plantillas construidas con texto.
• Rechazar saltos de línea en todo lo que acaba en cabeceras o correos (las librerías actuales suelen hacerlo).
• Validar el tipo de dato: si se espera un texto, no aceptar un objeto.
• Usar -- para separar opciones de argumentos al llamar a programas externos.

Al reportarlo

Di qué intérprete recibe el dato y demuestra el efecto con la prueba más pequeña posible. En las de comandos y plantillas, la ejecución de una orden inocua suele bastar.