Qu'est-ce que l'injection SQL?
L'injection SQL est une technique d'injection de code utilisée pour attaquer les applications pilotées par les données en insérant des instructions SQL malveillantes dans le champ d'exécution. La base de données est un élément vital de toute organisation. Ceci est géré par une sécurité de haut niveau dans une organisation. Voyons d'abord ce qu'est le SQL.
Qu'est-ce que SQL?
SQL est un langage de requête structuré. Utilisé pour interagir et manipuler la base de données.
Que fait exactement SQL?
- Créez une nouvelle base de données.
- Insérer, mettre à jour, supprimer des enregistrements.
- Créez de nouvelles requêtes.
- Procédures stockées.
- Créez des vues.
- Exécutez les requêtes.
- Définissez les autorisations.
L'injection SQL est l'une des principales menaces de sécurité. Cela relève de la cybercriminalité.
En SQL, nous avons un concept appelé injection SQL. Cette technique est utilisée pour injecter le code. SQLi (l'injection SQL est également connue comme un type de piratage, c'est-à-dire une attaque par injection). Elle est également appelée technique de piratage Web.
Cette injection injecte du code malveillant dans la base de données en donnant une entrée sur une page Web. Ces entrées ont des conditions, qui sont toujours vraies. Dans ces conditions, les pirates réussissent facilement les tests de sécurité. Ils peuvent facilement obtenir des données de la base de données SQL. Avec SQL Injection, ils peuvent ajouter, modifier et supprimer des enregistrements dans la base de données. Cette base de données peut être n'importe qui parmi MySQL, SQL Server, Oracle, SQL Server, etc. est illégal.
Si un site Web ou une application est mal conçu, ces attaques peuvent endommager l'ensemble du système. À ce stade, la cybersécurité entre en jeu.
Le comportement de l'injection SQL
Ces attaques fonctionnent généralement sur des instructions SQL dynamiques. L'injection SQL dépend du moteur de base de données. Cela diffère d'un moteur à l'autre. Lorsque nous demandons une entrée à l'utilisateur sur la page Web, comme le nom d'utilisateur et le mot de passe. Par inadvertance, nous donnons à l'utilisateur l'accès pour donner cette entrée directement dans la base de données.
Types d'injection SQL
- Injection SQL intrabande (injection SQL classique): Dans cette technique, le pirate utilise la même manière pour pirater la base de données et obtenir les données, c'est-à-dire le résultat de la base de données.
- Injection SQL basée sur les erreurs: dans ce type, le pirate obtient le modèle d'erreur de la base de données et y accède. Nous pouvons dire que c'est le seul type d'injection SQL intrabande.
- Injection SQL basée sur l'union: cette technique fait également partie de l'injection SQL intrabande. Dans cette technique, l'utilisateur combine la requête et récupère le résultat sous forme de réponse HTTP partielle.
- Injection SQL inférentielle (injection SQL aveugle): comme son nom l'indique, ici, le pirate n'utilise pas la bande pour obtenir des données de la base de données. Hacker a la capacité de changer la structure de la base de données en observant les modèles de la base de données. Il s'agit d'un type d'injection SQL très dangereux. Cette attaque prend plus de temps à s'exécuter. Hacker n'est pas en mesure de voir la sortie d'attaque par cette technique.
- Injection SQL aveugle basée sur le booléen (basée sur le contenu): Ceci fait partie de l'injection SQL inférentielle. Dans cette technique, le pirate force la base de données à récupérer le résultat en fonction d'une condition vraie ou fausse. En fonction de cette condition, le résultat de la réponse HTTP est modifié. Ce type d'attaque permet de déduire si la charge utile utilisée a renvoyé true ou false, même si aucune donnée de la base de données n'est renvoyée. Ces attaques particulièrement lentes.
- Injection SQL aveugle basée sur le temps: Cette technique fait également partie de l'injection SQL inférentielle. Cette technique est utilisée par les pirates pour mettre les charges utiles. Dans ces techniques, les pirates informatiques donnent du temps à la base de données pour exécuter la requête. En attendant, le pirate a une idée du résultat, qu'il soit vrai ou faux. Ce processus d'attaque est également de nature lente.
- Injection SQL hors bande: il s'agit d'une attaque basée sur les fonctionnalités. Ce n'est pas très courant. Cette attaque est utilisée par un pirate informatique lorsque le pirate informatique doit utiliser différents canaux pour attaquer et d'autres pour obtenir le résultat. Les techniques d'injection SQL hors bande dépendent de la capacité du serveur de base de données à effectuer des requêtes DNS ou HTTP pour fournir des données au pirate.
Comment ça marche?
Il existe principalement deux façons, où l'attaquant se concentre pour obtenir des données:
- Attaque directe: en utilisant directement la combinaison de différentes valeurs. Ici, le pirate a mis l'entrée confirmée qui donne le résultat exact.
- Recherche: Analyser la base de données en donnant différentes entrées. Ici, l'attaquant observe les réponses du serveur de base de données et décide quelle attaque doit être effectuée.
Comme nous l'avons déjà mentionné, les pirates d'injection SQL mettent la condition dans l'élément d'entrée qui est toujours vraie. Veuillez vérifier l'exemple suivant.
EX:
Supposons que nous ayons la requête ci-dessous pour obtenir les données des employés de la base de données:
|
Sélectionnez * parmi les employés où Userid = '500'
Identifiant d'utilisateur :
Si nous n'avons aucune restriction sur l'entrée de l'utilisateur. Les pirates peuvent ensuite utiliser ce champ pour accéder facilement aux données de la base de données.
Et la requête peut ressembler à ci-dessous
Sélectionnez * parmi les employés où l'ID utilisateur = 500 OU 1 = 1;
Cette requête renvoie les données de la base de données car 1 = 1 renvoie toujours true. De cette façon, la condition devient vraie. Cela semble vulnérable. C'est très dangereux pour l'organisation. Par exemple, pensez au secteur bancaire. Où les utilisateurs ont leurs mots de passe bancaires, leurs informations de solde, etc.
Cette technique est très facile pour le pirate informatique d'obtenir des informations. En donnant simplement une entrée à la base de données.
Les pirates obtiennent des données en insérant simplement OR, et = en les insérant dans la base de données.
Nom d'utilisateur:
"Ou" "="
Mot de passe:
"Ou" "="
Sur le serveur, la requête de fin est exécutée correctement, aucune erreur ne se produit. Vous pouvez également utiliser 'OR' 1 '=' 1 pour obtenir des données du serveur de base de données.
Maintenant, la question se pose, comment pourrions-nous maintenir la sécurité de notre base de données?
Et la réponse est en utilisant des paramètres SQL.
Par, ajout de paramètres supplémentaires à la requête lors de son exécution. Ces attaques sont facilement évitables par certaines techniques ci-dessous.
Les procédures stockées, les instructions préparées, les expressions régulières, les droits d'accès des utilisateurs à la connexion à la base de données, les messages d'erreur, etc. sont les techniques de prévention .
Encore une chose qui, pensons-nous, est également judicieux d'avoir différentes bases de données à des fins différentes dans l'application.
Une autre chose apparaît: les tests. Tester la base de données pour les différentes conditions est également le meilleur moyen.
Conclusion
La création d'une base de données est un élément crucial. Avoir le risque d'obtenir des informations dans la main des pirates n'est bon pour aucune application. Ainsi, lors de la création de la base de données, nous devons suivre quelques étapes simples pour éviter cette perte, une phrase appropriée est «mieux vaut prévenir que guérir».
Articles recommandés
Cela a été un guide sur Qu'est-ce que l'injection SQL. Nous discutons ici du comportement, de son fonctionnement et des types d'injection SQL. Vous pouvez également consulter nos autres articles suggérés pour en savoir plus -
- Qu'est-ce que SQL Server?
- Qu'est-ce que SQL | Explication du langage de requête
- Qu'est-ce que SQL Developer?
- Mise à jour des commandes SQL
- Expressions régulières en Java