Union-Based SQL Injection

Définition

L'injection SQL union-based utilise l'opérateur SQL UNION pour fusionner les résultats d'une requête malveillante avec ceux de la requête légitime, permettant d'afficher des données arbitraires de la base de données dans la réponse HTTP. C'est la technique la plus directe et la plus rapide quand l'application retourne des résultats de requête visibles dans la page. Prérequis pour une exploitation union-based : l'application affiche les résultats de la requête SQL dans la réponse, l'opérateur UNION est permis (non filtré), et le nombre de colonnes de la requête UNION doit correspondre à celui de la requête originale. Les étapes d'exploitation sont : 1) déterminer le nombre de colonnes avec ORDER BY N-- jusqu'à obtenir une erreur, 2) identifier les colonnes visibles avec UNION SELECT 1,2,3...N--, 3) remplacer les positions visibles par des sous-requêtes d'extraction. Un exemple complet MySQL : ' UNION SELECT username, password, 3 FROM users-- (si la requête originale retourne 3 colonnes dont les 2 premières sont affichées). Le résultat de la requête UNION apparaît directement dans la page HTML, exposant les usernames et mots de passe de la table users. L'union-based permet aussi l'exfiltration de fichiers (avec les permissions appropriées) : UNION SELECT LOAD_FILE('/etc/passwd'), 2, 3-- lit le contenu d'un fichier du système de fichiers. Et l'écriture de fichiers : UNION SELECT '<?php system($_GET["c"]);?>' INTO OUTFILE '/var/www/html/shell.php'-- écrit un webshell directement sur le serveur si les permissions FILE sont accordées à l'utilisateur MySQL et que le répertoire est accessible en écriture. SQLMap exploite automatiquement les injections union-based avec --technique=U et un flag --file-read pour la lecture de fichiers et --file-write/--file-dest pour l'écriture.