Injection SQL et attaques sur les bases de données

1. Nature et mécanisme fondamental de l’injection

L’injection SQL constitue une technique d’attaque dans laquelle un acteur malveillant parvient à manipuler des requêtes SQL générées dynamiquement par une application. L’objectif est de forcer l’interpréteur de requêtes, généralement un SGBDR (Système de gestion de bases de données relationnelles) tel que MySQL, PostgreSQL, SQL Server ou Oracle, à exécuter des instructions non prévues initialement par les développeurs. Ce type d’attaque est possible lorsque les données issues de l’utilisateur sont incorporées directement dans une requête SQL sans validation ni encapsulation adéquate.

Une application vulnérable se comporte comme un pont trop permissif entre l’entrée utilisateur et la couche d’accès aux données. Au lieu de traiter l’entrée comme une valeur à insérer dans la requête, l’interpréteur SQL la lit comme du code. Cela revient à offrir à l’attaquant la possibilité d’injecter des fragments de syntaxe SQL dans une requête existante, détournant ainsi le fonctionnement prévu du système. En pratique, ce vecteur d’attaque s’exploite souvent dans des formulaires...

1. Injection SQL classique (in-band)

L’injection dite in-band repose sur une interaction directe entre l’attaquant et le serveur de base de données, via le canal initial utilisé par l’application pour envoyer la requête. Elle se caractérise par une réponse immédiate et observable dans le navigateur ou l’interface utilisateur, ce qui en fait la forme la plus simple à exploiter.

La forme la plus élémentaire de cette injection repose sur une tautologie logique, comme l’opérateur OR 1=1, inséré dans une clause WHERE. Ce type de payload transforme la condition initiale en une expression toujours vraie, contournant ainsi les mécanismes de filtrage ou d’authentification. Par exemple, une requête initialement conçue pour vérifier la correspondance entre un nom d’utilisateur et un mot de passe peut être détournée pour accorder un accès sans authentification, si l’ensemble des lignes correspondantes est retourné par une condition toujours vérifiée.

L’injection de type UNION permet quant à elle de combiner le résultat de plusieurs requêtes...

1. Identification du vecteur d’injection

La première étape consiste à détecter un comportement suspect dans les interactions entre l’application web et la base de données. Cela passe généralement par l’observation attentive des zones où des entrées utilisateur sont traitées : champs de formulaire, paramètres d’URL, valeurs de cookies, ou encore corps des requêtes POST. L’injection peut également s’opérer via des vecteurs moins visibles, comme les en-têtes HTTP ou les champs stockés dans des bases internes. La méthode consiste à injecter une syntaxe anormale, souvent un simple caractère comme une apostrophe (’) ou un guillemet ("), dans le champ cible, dans le but de provoquer une erreur de parsing SQL. La présence d’un message d’erreur explicite ou d’un comportement...

1. Fonctionnement et utilisation de base

L’approche initiale de SQLmap consiste à fournir une URL vulnérable ou suspecte, que l’outil...

1. Requêtes préparées et séparation des données et du code

L’une des défenses les plus efficaces contre les injections SQL repose sur l’utilisation de requêtes paramétrées, également appelées requêtes préparées. Ce mécanisme, supporté par la majorité des pilotes SQL modernes, impose une séparation stricte entre le code SQL et les données injectées, empêchant ainsi l’interpréteur SQL de confondre les entrées utilisateur avec des instructions exécutables.

Dans ce modèle, la structure de la requête est compilée à l’avance avec des marqueurs de substitution (?, :param, etc.), puis les données sont transmises séparément au moteur d’exécution. Par exemple, en PHP avec PDO, une requête préparée s’écrit sous la forme SELECT * FROM users WHERE id = :id, suivie d’un bindParam() pour transmettre la valeur. En Python, les bibliothèques comme psycopg2 ou sqlite3 permettent une syntaxe similaire en utilisant des placeholders (%s) et une exécution différée. En JavaScript, avec...