SQL Injection

Définition

La SQL Injection est une vulnérabilité applicative web qui permet à un attaquant d'injecter du code SQL arbitraire dans les requêtes adressées à la base de données d'une application, lorsque des entrées utilisateur non contrôlées sont concaténées directement dans une requête SQL sans validation ni paramétrage approprié. Un attaquant exploitant cette faille peut contourner un formulaire d'authentification en injectant une condition toujours vraie, extraire l'intégralité du contenu d'une base de données via des techniques d'injection UNION permettant de fusionner le résultat d'une requête arbitraire avec la réponse légitime attendue, ou recourir à une injection aveugle (blind SQL injection) lorsque les résultats ne sont pas directement affichés, en déduisant l'information caractère par caractère à partir du comportement temporel ou booléen de l'application. Selon les privilèges du compte de base de données utilisé par l'application et les fonctionnalités activées du moteur, l'exploitation peut s'étendre jusqu'à la modification ou la destruction complète de données, voire l'exécution de commandes système sur le serveur hébergeant la base. Cette vulnérabilité figure de manière constante dans le classement OWASP Top 10 depuis sa création. La prévention repose sur l'usage systématique de requêtes préparées avec paramètres liés (prepared statements), l'usage d'ORM correctement configurés, et la validation stricte des entrées utilisateur en complément.