🚨 O erro de Login que pode apagar seu Banco de Dados (SQL Injection em Node.js)

SQL Injection em Node.js: O erro de login que pode apagar seu banco de dados

O erro acontece quando o desenvolvedor monta a consulta SQL concatenando diretamente os dados enviados pelo usuário. Com isso, um atacante pode alterar a consulta original e executar comandos maliciosos no banco de dados, incluindo instruções destrutivas como DROP TABLE. Neste exemplo, a rota de login foi escrita em Node.js com Express, mas o problema existe em praticamente qualquer linguagem quando os dados do usuário são inseridos diretamente na query. A solução correta é utilizar queries preparadas (prepared statements) e parâmetros fornecidos pelo driver do banco de dados. Se você trabalha com JavaScript, Node.js, Express ou banco de dados MySQL, este é um daqueles erros que vale a pena revisar hoje mesmo antes que vire um problema em produção.

"O SQL Injection é uma das vulnerabilidades mais antigas e ainda uma das mais perigosas. Um simples erro de concatenação de strings pode permitir que um invasor apague todo o seu banco de dados em segundos. Prepared Statements não são opcionais — são essenciais."

O que é SQL Injection e por que ele é tão perigoso?

O SQL Injection é uma vulnerabilidade de segurança que permite a um invasor alterar o comportamento de consultas SQL através de entradas fornecidas pelo usuário. Essa falha ocorre quando os dados enviados pelo usuário são concatenados diretamente na query SQL sem a devida validação ou parametrização.

O SQL Injection é uma das vulnerabilidades mais antigas e ainda uma das mais perigosas. Ele está consistentemente no topo das listas de vulnerabilidades mais críticas, como a OWASP Top 10. Um único erro de concatenação pode permitir que um invasor:

• Leia dados sensíveis do banco de dados
• Altere ou apague tabelas inteiras
• Execute comandos administrativos
• Comprometa completamente a aplicação

O código vulnerável em Node.js

O exemplo abaixo mostra uma rota de login em Node.js com Express que contém uma falha grave de segurança:

// routes/auth.js
app.post("/login", (req, res) => {
    
    const user = req.body.username;
    const pass = req.body.password;

    // ❌ monta a query direto na string
    const sql = `SELECT * FROM users WHERE user='${user}' AND pass='${pass}'`;

    // Executa a query...
});
        

O ataque: como o invasor explora a falha

Um invasor pode digitar no campo de login algo como:

// O que o hacker digita no campo username:
admin' ; DROP TABLE users; --
        

Quando o sistema concatena essa entrada na query, o resultado é:

-- O banco executa duas ordens:
SELECT * FROM users WHERE user='admin';

DROP TABLE users; -- Tabela de usuários é apagada!
        

A correção: Prepared Statements

A solução correta é usar queries preparadas (Prepared Statements) fornecidas pelo driver do banco de dados:

// routes/auth.js
app.post("/login", (req, res) => {
    
    const user = req.body.username;
    const pass = req.body.password;

    // ✅ Use queries preparadas
    const sql = `SELECT * FROM users WHERE user = ? AND pass = ?`;
    
    // Execute com parâmetros
    connection.query(sql, [user, pass], (err, results) => {
        // Processa o resultado com segurança
    });
});
        

Exemplo completo com MySQL

const express = require('express');
const mysql = require('mysql2');
const app = express();

// Configuração da conexão
const connection = mysql.createConnection({
    host: 'localhost',
    user: 'root',
    password: 'senha',
    database: 'meu_banco'
});

app.post("/login", (req, res) => {
    
    const user = req.body.username;
    const pass = req.body.password;

    // ✅ Query preparada
    const sql = 'SELECT * FROM users WHERE user = ? AND pass = ?';
    
    connection.execute(sql, [user, pass], (err, results) => {
        if (err) {
            return res.status(500).json({ error: 'Erro no servidor' });
        }
        
        if (results.length > 0) {
            res.json({ message: 'Login realizado com sucesso!' });
        } else {
            res.status(401).json({ error: 'Credenciais inválidas' });
        }
    });
});
        

Boas práticas de segurança para Node.js

⏱️ Capítulos do vídeo

• 00:00 — Login aparentemente normal
• 00:08 — Onde está a falha
• 00:18 — Como o ataque acontece
• 00:29 — O impacto no banco de dados
• 00:35 — Como corrigir

Conclusão

O SQL Injection é uma das vulnerabilidades mais perigosas e ainda muito comuns no desenvolvimento Web. Um simples erro de concatenação pode permitir que um invasor apague todo o seu banco de dados em segundos.

Neste artigo, você aprendeu:

• ✅ O que é SQL Injection e como ele funciona
• ✅ Como um ataque pode apagar tabelas inteiras
• ✅ Como corrigir a vulnerabilidade usando Prepared Statements
• ✅ Boas práticas de segurança para Node.js
• ✅ Como proteger suas aplicações contra SQL Injection

🤔 O que você achou?

💬 Quer aprender JavaScript do ZERO? Comece agora a escrever seu primeiro código e seus fundamentos!

❓ FAQ: Perguntas Frequentes sobre SQL Injection em Node.js

🎬 Assista ao Vídeos completo sobre Refatoração

O vídeo foi feito em Javascript mais o conceito pode ser utilizado em qualquer outra linguagem de programação..

🔗 Conecte-se Comigo