Injection SQL
Faille où une saisie utilisateur est ajoutée directement à une requête de base de données, permettant à un attaquant de modifier la requête pour lire ou supprimer des données.
- 01
Pourquoi c'est important
L'injection SQL est l'une des failles connues les plus anciennes, mais elle apparaît encore ; si elle réussit, les coordonnées des clients, les mots de passe et les commandes peuvent être exfiltrés en une seule fois. Elle se rencontre surtout dans un ancien code écrit à la main et dans des fonctions de recherche ou de filtre ajoutées à la hâte. Les requêtes paramétrées ferment ce risque à la racine.
- 02
Exemple
Le texte tapé dans la boîte de recherche de produits d'une boutique est ajouté directement à la requête. En tapant une expression spécialement construite dans la boîte, l'attaquant fait apparaître la table des utilisateurs au lieu de la liste des produits.
- 03
Erreur fréquente
Croire que l'on est en sécurité parce que la saisie est nettoyée à la main ou que les guillemets sont supprimés. La voie sûre est la requête paramétrée, où la saisie est envoyée séparément de la requête, ou une bibliothèque de base de données fiable.
- 04
Termes associés
Services et guides associés
Parlons de votre projet.
Dites-nous votre besoin ; nous définirons le périmètre ensemble.