Les tentatives d'injections de code SQL sont courantes sur internet et dangereuses surtout en language PHP. GuppY n'est pas sensible à ces faille car il n'utilise pas SQL ou MySQL, mais il est courant d'utiliser des outils externes à GuppY pouvant utiliser ce type de bases.
Présentation
Il y a deux types d'injections SQL :
- l'injection dans les variables numériques
- l'injection dans les variables qui contiennent des chaînes de caractères
variables numériques
La moins connue des deux, mais la plus fréquente actuellement. L'attaquant va tenter de se faire renvoyer des informations en utilisant des numéros d'ID, ou des valeurs numériques comme un âge, un téléphone, ...
variables qui contiennent des chaînes de caractères
On va dans ce cas tenter d'obtenir des informations en utilisant des chaînes comme le pseudo d'un membre. Le but étant de recueillir des informations comme l'email, les habitudes, ... voir le mot de passe pour usurper son identité.
Conséquences
Ce type d'injection peut avoir différentes conséquences :
- Vidage de votre base de donnée
- Récupération par un organisme extérieur de votre base de données
- Corruption de votre base pour modifier les contenus
Dans tous les cas vous perdrez en confiance de vos visiteurs et la crédibilité de votre site.
Protection
Cette partie s'applique aux utilisateurs pour expliquer le principe, les développeurs connaissent je pense déjà ces aspects.
- Vérifiez les bons formats numériques
- Empêchez ou annuler l'utilisation dans vos adresses de certaines fonctions SQL.
Articles en rapport
Introduction au black hat
Les types d'attaques sur un site
Injection de code malicieux
Le livre
Injection SQL - par 
31 membres
Haut 
© 2004-2008 
