Attaque par Injection SQL

Attaque par Injection de Code SQL

• Les attaques par injection font référence à une large classe de vecteurs d'attaque
• Un attaquant fournit des informations non fiables à un programme
• L'interpréteur traite l'information comme une commande ou une requête, modifiant ainsi l'exécution du programme.
• Les injections SQL sont parmi les attaques les plus anciennes et dangereuses contre les applications web
• Ces attaques peuvent entraîner le vol de données, la perte de données, la modification des données, le déni de service et la compromission du système.
• La principale raison de ces vulnérabilités est un contrôle insuffisant des entrées des utilisateurs.
• Les injections SQL (SQLi) et les attaques Cross-Site Scripting (XSS) sont très dangereuses et répandues.

Attaque par Injection SQL

• L'attaque par injection SQL est un type d'attaque informatique qui affecte principalement les sites web exploitant des bases de données.
• Les attaquants visent le cœur d'une application web
• La défaillance d'un serveur de base de données peut paralyser l'ensemble du site
• Les attaquants peuvent lire, modifier ou supprimer des données arbitraires.
• L'attaque consiste à modifier une requête SQL existante en injectant un morceau de requête non prévu, souvent via un formulaire.
• Ceci permet à l'attaquant d'accéder à la base de données, de la modifier et de compromettre la sécurité du système.
• Les vulnérabilités sont souvent dues à une mauvaise gestion des données entrantes par le site web
• Le langage SQL ne fait pas de distinction claire entre les instructions du programme (requête) et les données, ce qui peut permettre à un attaquant de manipuler les requêtes SQL et d'accéder à des informations sensibles ou de détruire la base de données

Principe de l'attaque par Injection SQL

• Les pirates cherchent à changer la structure (ou la sémantique) des requêtes SQL pour obtenir un résultat différent de celui prévu par le programmeur.
• Ils injectent des caractères dangereux ou des mots clés SQL dans les champs d'entrée pour modifier la structure d'une requête SQL dynamique pendant son exécution.
• Un programmeur qui ne valide pas ou ne contrôle pas les entrées d'utilisateur avant de les insérer dans une requête SQL dynamique rend son application vulnérable à l'attaque.

Mécanismes d'Injection

• Il existe trois mécanismes d'injection permettant d'exécuter du code SQL malveillant sur les bases de données d'une application web.
• Les entrées utilisateur sont souvent des points d'attaque faciles car ils sont moins surveillées que d'autres points.
• Les cookies (témoins de connexion) peuvent également être des points d'attaque, car ils contiennent des informations sur les utilisateurs et peuvent être exploités si l'application Web ne les chiffre pas correctement.
• La connexion entre le client et le serveur web se rompt fréquemment, ce qui permet aux attaquants d'injecter des informations dans les entêtes HTTP.

Principe de l'attaque par injection SQL

• L'attaque consiste à injecter du code SQL qui sera interprété par le moteur de la base de données.
• L'objectif est souvent d'ajouter une instruction pour obtenir une requête positive.
• Cela peut inclure usurper une identité, rendre l'application inutilisable ou supprimer des données de la base de données ou du système entier.

Exemples d'Attaques SQL

•  Exemples d'attaques sur le numéro de carte bancaire via des informations utilisateurs fournies lors de l'authentification.
• Exemple d'attaque sur un mot de passe basé sur la fonction de hachage MD5
• Dans les deux exemples, un utilisateur malveillant peut passer une requête malveillante pour obtenir des données sensibles ou modifier les données.

Solutions

• Supprimer les champs d'entrée indésirables.
• Stocker les mots de passe sous forme cryptée.
• Utiliser le principe du moindre privilège.
• Eviter les messages d'erreur détaillés pour limiter l'aide à l'attaquant.
• Utiliser les procédures stockées car elles sont moins vulnérables aux attaques par injection SQL.
• Gérer correctement les caractères spéciaux pour éviter l'injection de code frauduleux.

Ce quiz explore les attaques par injection SQL, l'une des vulnérabilités les plus anciennes et dangereuses des applications web. Il aborde les mécanismes d'attaque, les conséquences sur les données et l'importance du contrôle des entrées des utilisateurs. Testez vos connaissances sur ce sujet essentiel pour la sécurité informatique.