Qu'est-ce que l'injection SQL ?

Question

Quelqu'un peut-il expliquer l'injection SQL ? Comment provoque-t-elle des vulnérabilités ? Où se trouve exactement le point où le SQL est injecté ?

Answer 1

CWE

Le CWE a également de nombreux autres exploits à examiner.

Answer 2

Vous aimerez este article de code project ; )

Résumé

• Cryptez les données sensibles.
• Accédez à la base de données en utilisant un compte avec le moins de privilèges possible. nécessaires.
• Installez la base de données en utilisant un compte avec les moindres privilèges nécessaires.
• S'assurer que les données sont valides.
• Effectuez une revue de code pour vérifier la possibilité d'une erreur de second ordre. de second ordre.
• Utilisez des requêtes paramétrées.
• Utilisez des procédures stockées.
• Revalidez les données dans les procédures stockées.
• Veillez à ce que les messages d'erreur ne laissent rien transparaître de l'erreur interne. l'architecture interne de l'application ou de la base de données.

Answer 3

Le point où le SQL est injecté est tout moment où votre application accepte une entrée de l'utilisateur.

Le fait que cela devienne une vulnérabilité dangereuse pour votre application web dépend de l'utilisation ultérieure de cette entrée dans le cadre d'une requête SQL, sans vérifier correctement son type et sans l'échapper si nécessaire.

Sans un échappement approprié, un code SQL "injecté" par l'utilisateur pourrait être exécuté par le moteur SQL en tant que code SQL, plutôt que comme une simple chaîne ou valeur.