SQL Injection (Injection SQL)
hackingDéfinition
L' injection SQL est une vulnérabilité de sécurité applicative qui permet à un attaquant d'insérer du code SQL malveillant dans les requêtes envoyées à la base de données d'une application web.
Description
L'injection SQL insère du code SQL malveillant dans les requêtes d'une application web, permettant de manipuler la base de données. Classée parmi les vulnérabilités les plus critiques depuis plus de 20 ans, elle peut mener à l'exfiltration complète de données ou la compromission du serveur.
Exploitation
Un payload comme ' OR 1=1 -- dans un formulaire de connexion contourne l'authentification. L'UNION SELECT permet d'extraire des données d'autres tables. La SQLi OOB ou SSRF via LOAD_FILE/INTO OUTFILE permet des exploitations avancées.
Défense
- Utiliser exclusivement des requêtes préparées (prepared statements) avec des paramètres liés
- Implémenter le principe du moindre privilège sur le compte de base de données de l'application
- Déployer un WAF avec règles de détection SQLi en complément des protections applicatives
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis