Time-Based SQL Injection

Définition

L'injection SQL time-based (ou SQL Injection basée sur le temps) est une technique d'injection SQL aveugle (blind SQL injection) qui exploite le comportement temporel de la base de données pour extraire des informations sans résultats visibles dans la réponse HTTP. Quand l'application ne retourne pas de résultats de requête SQL et ne révèle pas d'erreurs, les techniques time-based permettent de déduire des informations via les délais de réponse. Le principe repose sur des fonctions de délai spécifiques à chaque SGBD : MySQL utilise SLEEP(N), PostgreSQL pg_sleep(N), SQL Server WAITFOR DELAY '0:0:N', et Oracle dbms_pipe.receive_message. L'attaquant injecte une condition IF qui déclenche un délai si une condition donnée est vraie : si le délai est observé, la condition est vraie ; sinon, elle est fausse. Cela permet d'extraire des données bit par bit ou caractère par caractère. Un payload typique MySQL : ' AND IF(SUBSTRING(password,1,1)='a', SLEEP(5), 0)--. Si la première lettre du mot de passe commence par 'a', la réponse sera retardée de 5 secondes. En testant tous les caractères possibles pour chaque position, l'attaquant peut reconstruire la valeur complète. SQLMap automatise ce processus avec l'option --technique=T. Les techniques time-based sont particulièrement lentes (quelques secondes par bit, plusieurs minutes par valeur complète) mais constituent souvent le seul vecteur disponible quand les autres techniques (error-based, union-based) sont inapplicables. L'automatisation avec SQLMap, adaptée pour minimiser le nombre de requêtes tout en fiabilisant les mesures de délai (en tenant compte des variations de latence réseau), est essentielle. Des optimisations existent pour accélérer l'extraction : la technique de recherche binaire (binary search) sur les valeurs ASCII des caractères réduit de 256 requêtes à 8 requêtes par caractère. Des injections avec OR 1=1 conditionnels permettent d'extraire plusieurs bits par requête.