(B)SQLi Cheat Sheet multi-databases

26
mars
2013
  • Google Plus
  • LinkedIn
  • Viadeo
Posted by: Yann C.  /   Category: Base de données SQL / Projets & outils   /   Pas de commentaire

sqliDans le cadre d’audits, d’évaluations et de pentests orientés vers les applications web qui exploitent des bases de données, les vulnérabilités de type « SQL Injection » (SQLi) ou « Blind SQL Injection » (BSQLi) font parties de celles les plus courante et les plus dévastatrices.

Cette famille de vulnérabilités est très prisée par les assaillants. Par le biais de telles failles, des bases de données complètes peuvent être compromises, contenant notamment des identifiants/mots de passe/adresse mail de clients.

L’OWASP classe ces injections en première position dans son Top Ten. Tous les jours de nombreux sites sont compromis par ces vecteurs d’attaques, dont des banques, des réseaux sociaux, des sites de commerce ou même gouvernementaux.

Pour un auditeur/pentester, il est nécessaire de se maintenir au courant des derniers vecteurs d’attaques pour telle ou telle base de données. Chaque base de données (MySQL, MSSQL, Oracle…) dispose d’une syntaxe, de fonctions et de procédures qui leurs sont propres, facilitant ou restreignant les attaques potentielles.

ASafety vous propose un condensé mis au goût du jour, s’inspirant de nombreuses sources de qualités et jugées de références de part le web. Ces « cheat sheet‘ synthétisent les techniques les plus communes comme les plus exotiques pour mener à bien une exploitation d’injection SQL lors d’un audit et/ou pentest.

Chaque spécificité propre à une base de données est décrite, avec des exemples de syntaxes ou d’utilisation à l’appui. Tous les PoC ont été testés par nos soins et validés sur les dernières versions en date des bases de données.

Ces dossiers relatifs aux bases de données sont centralisés sur la page « SQL Injection » d’ASafety. Une multitude de sources documentaires est présente pour chacun d’eux, en plus des développements réalisés par nos soins.

A l’heure actuelle de la rédaction de cet article, les cheat sheet d’SQL Injection des bases suivantes ont été réalisés :

D’autres bases de données seront ajoutées par la suite.

Pour toutes corrections ou améliorations, n’hésitez pas à nous contacter.

  • Google Plus
  • LinkedIn
  • Viadeo
Yann C.

About the Author : Yann C.

Consultant en sécurité informatique et s’exerçant dans ce domaine depuis le début des années 2000 en autodidacte par passion, plaisir et perspectives, il maintient le portail ASafety pour présenter des articles, des projets personnels, des recherches et développements, ainsi que des « advisory » de vulnérabilités décelées notamment au cours de pentest.