Injections SQL et méthodes de protection - Historique des versions

Rrebi : /* Cas historiques */

2016-11-21T22:11:25Z

Cas historiques

← Version précédente		Version du 21 novembre 2016 à 22:11
Ligne 237 :		Ligne 237 :

	== Cas historiques ==		== Cas historiques ==

			=== Répartitions des différentes techniques d'attaque ===

			Malgré les risques connus des injections SQL depuis leur existence, il subsiste toutefois encore trop d'attaque de ce type dans le monde. Comme en témoigne le graphique suivant :

			[[Fichier:Attack_techniques.png\|600px\|thumb\|center\|Répartition des différents types d'attaque en Octobre 2014]]

			Il ne devrait pas y avoir autant d'attaques par injection SQL vu les connaissances sur le sujet depuis des années. Faites attention à cela, c'est devenu très facile de se protéger contre les injections SQL de nos jours.

			=== Cas de piratage ===

			Ici, deux cas de piratages de logiciels/entreprises connus à cause d'injections SQL.

			#La version '''Microsoft SQL Server 2008''' qui a été victime d'une faille de sécurité en Janvier 2008 a vu des dizaines de milliers de PC se faire infecter par une injection SQL automatique.
			#'''Yahoo!''' a été victime d'une attaque par injection SQL en Juillet 2012. Cette attaque causa le vol de données de plus de 450 000 clients.


			[[Fichier:MSQLServer2008.png\|200px\|thumb\|center\|Logo Microsoft SQL Server 2008]]

			[[Fichier:Yahoo.png\|200px\|thumb\|center\|Logo Yahoo]]

Rrebi : /* Les procédures stockées */

2016-11-21T21:50:17Z

Les procédures stockées

← Version précédente		Version du 21 novembre 2016 à 21:50
Ligne 235 :		Ligne 235 :
	Alors que le PLSQL est déjà compilé. Suivant la procédure, on peut s'attendre à devoir passer des paramètres. Étant donné que la requête est déjà compilée, les paramètres sont ajoutés dans la procédure sans qu'il y ait besoin de réinterpréter la requête.		Alors que le PLSQL est déjà compilé. Suivant la procédure, on peut s'attendre à devoir passer des paramètres. Étant donné que la requête est déjà compilée, les paramètres sont ajoutés dans la procédure sans qu'il y ait besoin de réinterpréter la requête.
	C'est cette étape qui sécurise totalement les injections SQL. Les paramètres ne peuvent pas interférer avec la requête compilée.		C'est cette étape qui sécurise totalement les injections SQL. Les paramètres ne peuvent pas interférer avec la requête compilée.

			== Cas historiques ==

Rrebi : /* Les procédures stockées */

2016-11-21T21:48:23Z

Les procédures stockées

← Version précédente		Version du 21 novembre 2016 à 21:48
Ligne 222 :		Ligne 222 :
	Ce nom permet de l'identifier depuis le code et permet également de passer des paramètres.		Ce nom permet de l'identifier depuis le code et permet également de passer des paramètres.

			<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="plsql">
	<source lang="plsql">
	CREATE PROC PS_ClientId(@cId int) AS		CREATE PROC PS_ClientId(@cId int) AS
	BEGIN		BEGIN

Rrebi : /* Les procédures stockées */

2016-11-21T21:47:05Z

Les procédures stockées

← Version précédente		Version du 21 novembre 2016 à 21:47
Ligne 222 :		Ligne 222 :
	Ce nom permet de l'identifier depuis le code et permet également de passer des paramètres.		Ce nom permet de l'identifier depuis le code et permet également de passer des paramètres.

			<source lang="plsql">
			CREATE PROC PS_ClientId(@cId int) AS
			BEGIN
			SELECT * FROM User WHERE id = @cId
			END
			</source>

	La grosse différence avec le SQL se passe lors de l'exécution de la requête.		La grosse différence avec le SQL se passe lors de l'exécution de la requête.

Rrebi : /* Les procédures stockées */

2016-11-21T21:35:31Z

Les procédures stockées

← Version précédente		Version du 21 novembre 2016 à 21:35
Ligne 215 :		Ligne 215 :

	=== Les procédures stockées ===		=== Les procédures stockées ===
			Les procédures stockées sont des instructions SQL précompilées du côté de la base de données.
	Instructions SQL précompilées

			Pour rendre cette compilation possible, les procédures stockées sont écrites dans un langage dérivé du SQL, le PLSQL. Ce langage de script a été créé par Oracle et est majoritairement présent dans les base de données Oracle.

			L'avantage de ces procédures est qu'elles sont précompilées dans la base de données afin d'être appelées depuis le code. Lors de l'écriture d'une procédure stockée, on lui donne un nom, comme toute procédure (ou fonction).
			Ce nom permet de l'identifier depuis le code et permet également de passer des paramètres.


			La grosse différence avec le SQL se passe lors de l'exécution de la requête.

			Le SQL est compilé pendant le "runtime" afin d'exécuter les requêtes souhaitées. C'est de cette étape que vient les vulnérabilité vues précédemment.

			Alors que le PLSQL est déjà compilé. Suivant la procédure, on peut s'attendre à devoir passer des paramètres. Étant donné que la requête est déjà compilée, les paramètres sont ajoutés dans la procédure sans qu'il y ait besoin de réinterpréter la requête.
			C'est cette étape qui sécurise totalement les injections SQL. Les paramètres ne peuvent pas interférer avec la requête compilée.

Lrobe : /* Injection SQL */

2016-11-21T21:18:10Z

Injection SQL

← Version précédente		Version du 21 novembre 2016 à 21:18
Ligne 35 :		Ligne 35 :


			[[Fichier:exempleInjectionSQL.png\|500px\|thumb\|center\|Exemple d'injection SQL]]
	<<Image exemple injection dans un formulaire>>

Lrobe : /* Injection SQL */

2016-11-21T21:13:43Z

Injection SQL

← Version précédente		Version du 21 novembre 2016 à 21:13
Ligne 29 :		Ligne 29 :


			[[Fichier:exempleFormulaire.png\|500px\|thumb\|center\|Exemple de formulaire]]
	<<Image exemple formulaire>>

Lrobe : /* Supression de toute la base de donnée */

2016-11-21T21:07:39Z

Supression de toute la base de donnée

← Version précédente		Version du 21 novembre 2016 à 21:07
Ligne 86 :		Ligne 86 :
	=== Supression de toute la base de donnée ===		=== Supression de toute la base de donnée ===

	[[Fichier:supressionBaseDeDonnee.png\|500px\|thumb\|center\|~~Connexion~~ ~~sans~~ ~~mot~~ de ~~passe~~]]		[[Fichier:supressionBaseDeDonnee.png\|500px\|thumb\|center\|Supression de la base de donnée]]

	<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="sql">		<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="sql">

Lrobe : /* Supression de toute la base de donnée */

2016-11-21T21:06:08Z

Supression de toute la base de donnée

← Version précédente		Version du 21 novembre 2016 à 21:06
Ligne 85 :		Ligne 85 :

	=== Supression de toute la base de donnée ===		=== Supression de toute la base de donnée ===

			[[Fichier:supressionBaseDeDonnee.png\|500px\|thumb\|center\|Connexion sans mot de passe]]

	<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="sql">		<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="sql">

Rrebi : /* Les requêtes paramétrées */

2016-11-21T21:03:11Z

Les requêtes paramétrées

← Version précédente		Version du 21 novembre 2016 à 21:03
Ligne 199 :		Ligne 199 :
	reqParam = SELECT * FROM user WHERE lastname = ? AND firstname = ?		reqParam = SELECT * FROM user WHERE lastname = ? AND firstname = ?
	</source>		</source>


	Dans cet exemple, on crée une requête paramétrée qui retournera les informations des utilisateurs ayant un nom et un prénom précis.		Dans cet exemple, on crée une requête paramétrée qui retournera les informations des utilisateurs ayant un nom et un prénom précis.
	Pour intégrer les valeurs à cette requête, on ~~utilise~~ ~~donc~~ les marqueurs de place (placeholder) comme suit :		Pour intégrer les valeurs à cette requête, on peut utiliser les marqueurs de place (placeholder) comme suit :

	<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="sql">		<source style="border: 1px dashed #2f6fab;background-color: #f9f9f9;font-size: 127%;padding: 1em;" lang="sql">
	reqParam.setParam( 1, "Alice" );		reqParam.setParam( 1, "Alice" );
	reqParam.setParam( 2, "Case" )		reqParam.setParam( 2, "Case" );
	</source>		</source>


			Grâce à cette syntaxe, la requête aura toujours la bonne forme. Et rien n'empêche de combiner cette syntaxe de requête avec la validation des chaînes de caractères précédemment traitée.

	=== Les procédures stockées ===		=== Les procédures stockées ===

Injections SQL et méthodes de protection - Historique des versions

Rrebi : /* Cas historiques */

Rrebi : /* Les procédures stockées */

Rrebi : /* Les procédures stockées */

Rrebi : /* Les procédures stockées */

Rrebi : /* Les procédures stockées */

Lrobe : /* Injection SQL */

Lrobe : /* Injection SQL */

Lrobe : /* Supression de toute la base de donnée */

Lrobe : /* Supression de toute la base de donnée */

Rrebi : /* Les requêtes paramétrées */

Rrebi : /* Cas historiques */

Rrebi : /* Les procédures stockées */

Rrebi : /* Les procédures stockées */

Rrebi : /* Les procédures stockées */

Rrebi : /* Les procédures stockées */

Lrobe : /* Injection SQL */

Lrobe : /* Injection SQL */

Lrobe : /* Supression de toute la base de donnée */

Lrobe : /* Supression de toute la base de donnée */

Rrebi : /* Les requêtes paramétrées */