Les injections SQL : les informations à connaitre

Le SQL ou Structured Query Language est un langage très utilisé pour manipuler une base de données liée à un site web. La plus grande faille de ce langage réside dans le fait qu’il est possible d’y faire un piratage dit « injection SQL ». Toutefois, si le site a pris les bonnes mesures de sécurité, ce type d’attaque peut être limité.

Les types d’attaques SQL

Les attaques par injection sont nombreuses. Il y a par exemple l’attaque qui utilise l’opérateur UNION du langage SQL. Les données Structured Query Language sont coordonnées sous forme de tableaux reliés entre eux. L’attaque susmentionnée permet de soustraire simultanément des informations sur plusieurs de ces tableaux. Il y a ensuite l’invasion dont le fonctionnement consiste à générer délibérément une erreur SQL. Viennent alors s’afficher des indications concernant l’origine de l’erreur ainsi que d’autres données compromettantes. Afin de déterminer les failles exploitables d’un serveur, certains pirates optent pour le blind time-based. Cette attaque consiste notamment à dérober des informations sensibles sur ledit serveur. Un autre type d’invasion similaire appelée blind boolean-based sert quant à elle, à vérifier la validité d’une information. En dernier lieu, il y a l’attaque out-of-band qui consiste à générer des commandes http en vue de recevoir les données recherchées.

Comment se protéger contre ces attaques ?

Pour se protéger contre les attaques Structured Query Language, un site web peut prendre plusieurs dispositions. La première consiste à utiliser des logiciels à jour et ayant corrigé les failles des versions précédentes. Il y a ensuite l’utilisation de logiciels de sécurisation permettant de protéger les bases de données. Chaque site doit également veiller à ce que ses utilisateurs aient un champ d’action limité. Par exemple, il faut empêcher les usagers d’écrire leurs propres commandes en leur proposant des options prêtes à l’emploi. Il faut aussi respecter les bonnes pratiques qui consistent à rendre inoffensives les requêtes provenant des utilisateurs.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *