Injection SQL

Pourquoi c'est Important

L'injection SQL a constamment figure parmi les vulnerabilites d'applications web les plus critiques depuis plus de deux decennies. Malgre sa bonne comprehension et sa prevention possible, la SQLi continue d'affliger les applications, permettant des violations de donnees qui exposent des millions d'enregistrements.

L'impact de l'injection SQL s'etend bien au-dela du simple acces aux donnees. Les attaques reussies peuvent :

• Extraire des bases de donnees entieres incluant mots de passe et informations personnelles
• Modifier ou supprimer des donnees, causant des perturbations operationnelles
• Contourner l'authentification et usurper des utilisateurs
• Executer des commandes sur le serveur sous-jacent
• Pivoter pour attaquer les systemes du reseau interne

Certaines des plus grandes violations de donnees de l'histoire ont resulte d'injections SQL, affectant des detaillants majeurs, des agences gouvernementales et des entreprises technologiques.

Comment Fonctionne l'Injection SQL

L'injection SQL se produit quand l'entree utilisateur est incorporee dans les requetes de base de donnees sans validation ou assainissement adequat :

Exemple de Code Vulnerable

// CODE VULNERABLE - Ne jamais faire cela !
$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users
        WHERE username = '$username'
        AND password = '$password'";

$result = mysqli_query($connection, $query);

Execution de l'Attaque

Entree normale :
username: admin
password: motdepasse123

La requete devient :
SELECT * FROM users WHERE username = 'admin' AND password = 'motdepasse123'

Entree malveillante :
username: admin' --
password: n'importe_quoi

La requete devient :
SELECT * FROM users WHERE username = 'admin' --' AND password = 'n'importe_quoi'

Le -- commente la verification du mot de passe, accordant l'acces !

Types d'Injection SQL

SQLi In-Band

Les resultats sont retournes directement dans la reponse de l'application.

Basee sur UNION : Combine les resultats de la requete de l'attaquant avec la sortie de la requete legitime.

-- Requete originale : SELECT name, price FROM products WHERE id = '1'

-- Injection : 1' UNION SELECT username, password FROM users --
-- La requete combinee extrait les identifiants utilisateurs aux cotes des donnees produit

Basee sur Erreur : Extrait des donnees a travers les messages d'erreur de la base de donnees.

SQLi Aveugle (Blind)

Aucune sortie directe visible ; les attaquants inferent les resultats a travers le comportement de l'application.

Basee sur Booleen : Differentes reponses basees sur des conditions vrai/faux.

-- Si le premier caractere du mot de passe est 'a', la page charge normalement
1' AND SUBSTRING((SELECT password FROM users WHERE id=1),1,1)='a' --

-- Iterer a travers les caracteres pour extraire les donnees

Basee sur le Temps : Utilise des delais de base de donnees pour extraire l'information.

-- Si la condition est vraie, la reponse est retardee de 5 secondes
1' AND IF(SUBSTRING(password,1,1)='a', SLEEP(5), 0) --

Techniques de Prevention

Requetes Parametrees (Prepared Statements)

La defense principale : separe le code SQL des donnees utilisateur.

# SECURISE - Utilisation de requete parametree
cursor.execute(
  "SELECT * FROM users WHERE username = %s AND password = %s",
  (username, password)
)

// SECURISE - Utilisation de PreparedStatement
String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = connection.prepareStatement(query);
stmt.setString(1, username);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

Validation des Entrees

• Valider les types de donnees (attendre un entier, rejeter les chaines)
• Whitelister les caracteres autorises
• Rejeter les patterns malveillants connus
• Valider les contraintes de longueur

Defense en Profondeur

• Pare-feu Applicatif Web (WAF) pour detecter les patterns d'attaque
• Principe du moindre privilege pour les comptes de base de donnees
• Desactiver les fonctionnalites de base de donnees inutiles
• Chiffrer les donnees sensibles au repos
• Tests de securite reguliers et revue de code

Lien avec les Carrieres

L'expertise en injection SQL est precieuse dans les roles de securite. Les testeurs de penetration d'applications web testent et exploitent regulierement la SQLi ; les reviseurs de code securise identifient les patterns vulnerables.