| Injection SQL (Structury Query Language, langage structuré de requêtes) | Technique ou type d'attaque malicieuse exploitant les vulnérabilités de sécurité à l'intérieur d'une base de données d'une application. Elle permet à un attaquant d'ajouter ou « d'injecter » du code SQL « inattendu » à un formulaire Web, d'accéder ainsi au contenu de la base de données et de le modifier.
Par exemple, toutes les boutiques en ligne ont une page de connexion permettant l'authentification des clients. Les chaînes alphanumériques que vous saisissez (comme le nom d'utilisateur et le mot de passe) dans les champs du formulaire correspondants sont incluses dans une requête envoyée à la base de données. Si la combinaison de votre nom d'utilisateur et de votre mot de passe correspond à celle que contient la base de données, alors vous accédez à votre compte et pouvez commencer à effectuer des achats, à passer des commandes et à gérer d'autres paramètres du compte. Mais si le nom d'utilisateur et le mot de passe que vous saisissez ne correspondent à aucune des combinaisons possibles de la base de données, alors l'accès vous est refusé.
Le scénario décrit précédemment correspond à une utilisation normale d’un formulaire Web, lorsque la base de données attend de l’utilisateur deux chaînes alphanumériques spécifiques comme partie de la requête SQL envoyée à la base de données. Le code « inattendu » mentionné précédemment, utilisé par un pirate pour accéder à la base de données se réfère à des instructions SQL spécifiques que le pirate saisit dans les champs du formulaire Web à la place du nom d’utilisateur et du mot de passe. Bien que la base de données rejette une combinaison incorrecte, elle peut accepter et traiter une ou plusieurs instructions SQL qui sont, en effet, des chaînes alphanumériques. Cela est possible car les formulaires Web et les bases de données ne peuvent bloquer ou rejeter par elles-mêmes de telles données (autres qu’un nom d’utilisateur et un mot de passe). Ainsi, le pirate peut accéder au contenu de la base de données et récupérer ou modifier les informations qu'elle contient. |
Copyright 2011. Proposé par Bitdefender 