Fonctionnement
Une base de donné dit souvent BDD sert à regroupé des donnés de façon organisé. C'est comme un tableau. Le tout en forme de colonnes et de lignes. Les colonnes représentent les attributs. Les lignes sont les tuples.
Ça va jusqu'ici ? Très bien.
Vous voulez en savoir plus sur l’injection SQL ? N'ayez pas honte, suffit de le dire, c'est la technique utilisé pour saisir des données malveillantes dans une instruction SQL, qui serait donc l'actuelle vulnérabilité sur la couche des bases de données.
Pété de rire ! Il semble que Kevin qui a récemment pris l'apprentissage d'un langage de développement web a essayé la technique sur son site Web préféré. Heureusement pour ce site, cette technique n'est pas du tout difficile à s'en protéger.
Exemple, des livres classés dans une bibliothèque : bases de données.
SQL (prononcez «ESS-qu-el») signifie Structured Query Language. SQL est utilisé pour communiquer avec une base de données. Selon la norme ANSI (American National Standards Institute), il est le langage standard pour les systèmes de gestion de bases de données.
Les instructions SQL sont utilisées pour effectuer des tâches telles que mettre à jour des donnés sur une base, ou de récupérer des données d'une base.
Nous pouvons donc commander l'envoie de la liste des utilisateurs inscris sur un site ou fofo sinon le titre des billets sur une page d'accueil d'un blog. Les deux requêtes sont indépendantes des internautes parcourant le site. Par exemple (avec la table précédente) :
SELECT Marque FROM Ordinateur;
Grâce à cette commande (requête, j'évite d'utiliser des mots techniques qui peuvent vous faire perdre d'orientation) on peut avoir la liste des marques contenues dans la table ordinateur du tableau.
Un système de connexion sur site va utiliser une requête SQL pour vérifier si le pseudo et le mot de passe saisis correspondent vraiment à un internaute inscrit dans le site.
Et comme ces donnés sont stockés dans une base de données, il faudra alors comparer avec tous les internautes présents dans la table correspondant aux membres. Ainsi la requête est utilisé dépendante des informations de l'utilisateur, elle les utilise dans sa requête. Exemple :
SELECT pseudo, mdp FROM membres WHERE pseudo = '$pseudo' AND mdp = '$pass';
Je vous laisse deviner que $pseudo représente le pseudo que l'utilisateur a tapé dans la zone de saisie, le même cas pour $pass qui représente le mot de passe. Normalement, si la transmission se fait par POST, elles auraient la forme $_POST['pseudo'] et $_POST['mdp'].
Problème concernant les injections SQL
L'injection SQL c'est le fait de saisir des informations qui vont être utilisées dans une requête afin de modifier le fonctionnement de cette BDD.
Simple, il faut modifier la requête comme on veut.
En fait le principe, c'est d'ajouter un caractère en fin de chaîne dans le champ de saisie puis insérer ce que l'on veut ensuite ou terminer la requête.
Disons que je veux taper dans le champ "pseudonyme" par exemple "Fayçal", niveau requête ça donne ceci:
SELECT pseudonyme, mdp FROM membres WHERE pseudo = 'Fayçal';
Normalement vous allez devoir vous apercevoir qu'il n'y aura plus besoin de mot passe, la connexion est réussite.
Compris le principe ? Okey. Next step.
Se protéger des injections SQL
L'injection SQL est une phrase très effrayante. C'est grâce à ça que les pirates down les sites des responsables gouvernementaux majeurs, des milliers de pages d'accueil personnelles et tout le reste.
Pourtant, croyez-le ou non, se prémunir contre l'attaque est simple comme un couple de lignes de code.
On va utiliser une fonction nommé mysql_real_escape_string(). Elle désactivera les caractères de fins de chaînes comme ' ou ". Des des antislashs serons alors automatiquement ajouté pour échapper à ça.
A savoir que ces antislashs seront reconnu comme étant de simples caractères. Ça donne ceci:
$pseudo = mysql_real_escape_string($pseudo);
$mdp = mysql_real_escape_string($mdp);
mysql_query
("SELECT pseudo,
mdp FROM membres WHERE pseudo = '$pseudo' AND mdp = '$mdp' " ;
La sécurité est maintenant assuré.
Pour résumer
- Une BDD est constitué de: tuple et attribut, cela forme alors une table
- Les caractères de fin de chaîne peuvent permettre d'insérer du code dans votre requête
- mysql_real_escape_string() est une fonction qui permet de se protéger
Fayçal ELK