SQL injection: una panoramica delle criticità nel contesto dell'accesso remoto all'informazione

Compilazione e interpretazione
Per meglio assimilare i concetti che saranno esposti in seguito, è opportuno affrontare una breve digressione sulle due grandi famiglie in cui si possono suddividere i linguaggi di programmazione: linguaggi compilati e linguaggi interpretati.
Le istruzioni di un programma sono solitamente scritte in linguaggi di alto livello e devono essere tradotte in codice macchina per essere eseguite. I due differenti metodi per affrontare questa operazione sono la compilazione e l’interpretazione.
Il codice sorgente scritto in un linguaggio compilato è tradotto in forma eseguibile con l’ausilio di un programma detto compilatore. Il codice eseguibile prodotto è scritto in un determinato codice macchina per una determinata piattaforma operativa (per esempio sistema operativo Windows su hardware Intel). La traduzione è fatta una volta per tutte, dopodiché non c’è più bisogno del compilatore per l’esecuzione codice. D’altro canto, se si modifica il codice sorgente, si è costretti a ricompilare l’intero programma per rendere effettive le modifiche. Esempi di linguaggi compilati sono: C, C++, Fortran, Go, Haskell, Cobol, Pascal. La compilazione consente una più rapida esecuzione del codice rispetto alla interpretazione, ma risulta meno flessibile: bisogna ricompilare interamente il codice sorgente a ogni modifica.

Un programma scritto in un linguaggio interpretato si appoggia invece a un costrutto software detto interprete, per tradurre man mano le istruzioni del programma. Il codice sorgente è tradotto ed eseguito direttamente durante l’esecuzione, a runtime, da un ambiente che lo interpreta. Ogni esecuzione del codice prevede una nuova traduzione. A differenza di quel che avviene nella compilazione, dove tutto il codice viene tradotto, sono interpretate solo le porzioni di codice da eseguire. Gli svantaggi di questo approccio, soprattutto in termini prestazionali, sono bilanciati dall’inestimabile vantaggio di emancipare il codice da una determinata piattaforma operativa. Infatti, interpreti diversi dello stesso linguaggio possono tradurre il medesimo codice sorgente per altrettante piattaforme operative. Un codice Javascript interpretato da un web browser costituisce un tipico esempio di interpretazione: lo script viene eseguito indifferentemente su Windows, Linux, Mac, ecc. Altri esempi di linguaggi interpretati sono: PHP, SQL, Ruby, Basic.

Per completezza di esp posizione occorre infine accennare all’e esistenza di un approccio ibrido tra com mpilazione e interpretazione. Apparteng gono a questa categoria linguaggi quali LISP, Java, Python, C#, F#, Scala, Erlan ng e Clojure.
Nel caso che si vuole prendere in esame in questo elaborato, uno script SQL viene tipicamente interpretato, ovvero tradotto in tempo reale al momento dell’esecuzione. Questo consente a un utente malevolo di perpetrare una SQLI, iniettando porzioni di codice SQL nello script durante le fasi di input; per esempio al momento di fornire le credenziali di accesso. L’interprete SQL tradurrà queste istruzioni e le eseguirà come se fossero parti di codice dello script originario. Si osservi che l’iniezione di codice risulterebbe molto più difficoltosa qualora lo script fosse compilato anziché interpretato.