Second-Order SQL Injection

Définition

L'injection SQL du second ordre (Second-Order SQL Injection, aussi appelée Stored SQL Injection) est une variante d'injection SQL où le payload malveillant est d'abord stocké dans la base de données (lors d'une première requête) et n'est exploité qu'ultérieurement, lors d'une seconde requête qui récupère et utilise les données stockées sans assainissement suffisant. Contrairement à l'injection SQL classique (first-order) qui est exécutée immédiatement lors de la première requête, le second-order bypass les protections appliquées uniquement à l'entrée de données. Une application peut sanitiser correctement les données lors de l'insertion (premier ordre) mais faire confiance aux données stockées en base lors de leur réutilisation (second ordre), supposant à tort que les données en base sont sûres. Scénario typique : un utilisateur s'inscrit avec le username admin'--. L'application échappe correctement ce username lors de l'INSERT (stocké tel quel avec l'apostrophe dans la base). Plus tard, quand l'utilisateur change son mot de passe, l'application exécute une requête utilisant le username stocké : UPDATE users SET password='nouveau' WHERE username='admin'--'. Le -- commente le reste de la requête, modifiant le mot de passe de l'utilisateur 'admin' plutôt que du compte actuel. Cette vulnérabilité est particulièrement insidieuse car elle ne se manifeste pas immédiatement lors du test de l'entrée originale et peut être difficile à détecter dans les revues de code. Les scanners automatiques simples qui ne suivent pas les flux de données entre requêtes peuvent manquer les second-order SQLi. Des cas réels documentés incluent des applications de changement de mot de passe, des fonctions de gestion de profil, et des traitements batch qui réutilisent des données stockées dans des requêtes SQL non paramétrées.