Tester de inyección SQL

Herramienta educativa para entender los ataques de inyección SQL y aprender a prevenirlos con consultas parametrizadas

Todo el procesamiento ocurre en tu navegador. No se sube ningún dato.

Offline Ready

Tester de inyección SQL

Herramienta educativa para entender los ataques de inyección SQL y aprender a prevenirlos con consultas parametrizadas

🔒Todo el procesamiento ocurre en tu navegador. No se sube ningún dato.

Herramienta educativa

Esta herramienta es solo para fines educativos y de seguridad defensiva. Demuestra cómo funciona la inyección SQL y cómo escribir consultas parametrizadas seguras. Nunca uses estas técnicas contra sistemas que no te pertenezcan.

Plantilla de consulta

SELECT (Login)

Entrada del usuario (simulada)

Ingresa una entrada de usuario simulada para ver cómo afecta la consulta SQL...

Payloads comunes de inyección SQL

Consulta vulnerable (concatenación de cadenas)

INSEGURO - No usar en producción

SELECT * FROM users WHERE username = 'user_input_here' AND password = 'pass123'

Alternativas seguras con parámetros

Node.js (mysql2)

const [rows] = await connection.execute(
  'SELECT * FROM users WHERE username = ? AND password = ?',
  [username, password]
);

Python (psycopg2)

cursor.execute(
    "SELECT * FROM users WHERE username = %s AND password = %s",
    (username, password)
)

Java (PreparedStatement)

PreparedStatement ps = conn.prepareStatement(
    "SELECT * FROM users WHERE username = ? AND password = ?"
);
ps.setString(1, username);
ps.setString(2, password);
ResultSet rs = ps.executeQuery();

C# (SqlParameter)

using var cmd = new SqlCommand(
    "SELECT * FROM users WHERE username = @user AND password = @pass",
    connection
);
cmd.Parameters.AddWithValue("@user", username);
cmd.Parameters.AddWithValue("@pass", password);

PHP (PDO)

$stmt = $pdo->prepare(
    'SELECT * FROM users WHERE username = :user AND password = :pass'
);
$stmt->execute(['user' => $username, 'pass' => $password]);

Mejores prácticas de prevención de inyección SQL

Siempre usa consultas parametrizadas (sentencias preparadas) en lugar de concatenación de cadenas para SQL.

Usa un ORM (Sequelize, SQLAlchemy, Entity Framework) que genera consultas parametrizadas automáticamente.

Aplica el principio de mínimo privilegio: las cuentas de base de datos deben tener solo los permisos que necesitan.

Usa listas de permitidos para identificadores dinámicos como nombres de columnas y tablas que no se pueden parametrizar.

Implementa validación de entrada como medida de defensa en profundidad, pero nunca confíes en ella como única protección.

Habilita reglas de WAF (Web Application Firewall) y monitorea los registros en busca de patrones de intentos de inyección SQL.