Injection SQL

SQL (Structured Query Language) est le langage d’interrogation des bases de données relationnelles. Lorsqu’une application construit une requête en concaténant du texte fourni par l’utilisateur, ce texte peut contenir des fragments de SQL qui modifient le sens de la requête. Un champ de connexion qui reçoit une chaîne conçue pour rendre la condition toujours vraie en est l’illustration classique. Selon les droits du compte de base de données, l’impact va de la simple lecture à l’exécution de commandes sur le serveur.

Certaines injections sont dites aveugles : la réponse n’affiche aucune donnée, mais l’attaquant déduit l’information bit par bit, par la différence de contenu ou de temps de réponse. Elles sont plus lentes à exploiter mais tout aussi graves. Les scanners en détectent une partie, surtout sur les paramètres évidents ; ils manquent souvent celles qui se trouvent dans des formats secondaires, comme un champ JSON, un en-tête ou un tri dynamique. Le correctif de référence est la requête paramétrée (ou préparée), qui transmet le code et les données séparément à la base. Les ORM (outils de mapping objet-relationnel) l’appliquent par défaut, mais exposent aussi des méthodes de requête brute qui réintroduisent le risque. Il faut y ajouter un compte de base de données limité aux droits strictement nécessaires.