Error-Based SQL Injection

Définition

L'injection SQL error-based exploite les messages d'erreur retournés par la base de données pour extraire des informations directement depuis les messages d'erreur affichés dans la réponse HTTP. C'est une technique plus rapide que la time-based car elle obtient des données complètes en une seule requête plutôt que de procéder bit par bit. Chaque SGBD a des fonctions qui provoquent des erreurs contenant des données : MySQL utilise extractvalue() et updatexml(), PostgreSQL utilise des conversions de types invalides (CAST(version() AS INTEGER)), SQL Server utilise convert(INT, (SELECT @@version)) et @@version dans des contextes d'erreur, et Oracle utilise des techniques de type XMLType. Exemple MySQL : ' AND extractvalue(1, concat(0x7e, (SELECT database())))-- provoque une erreur XPath malformée du type : XPATH syntax error: '~nom_de_la_base'. La valeur de la sous-requête (nom de la base de données) apparaît dans le message d'erreur. Des requêtes similaires permettent d'extraire la version, les noms de tables, les colonnes, et les données. L'error-based est significativement plus rapide que la time-based : une requête extrait une valeur complète (jusqu'à 32-64 caractères selon la fonction). L'extraction d'un mot de passe haché de 40 caractères SHA1 nécessite 1-2 requêtes au lieu de plusieurs centaines. SQLMap utilise l'error-based avec l'option --technique=E. Les conditions nécessaires : que l'application affiche les messages d'erreur SQL dans la réponse (configuration dev ou mauvaise gestion des erreurs en production). La mitigation la plus simple est de désactiver l'affichage des erreurs SQL en production et de loguer les erreurs côté serveur uniquement.