Comment exploiter une faille SQL Injection

[Adns]

Bonjour,

L'article est plutôt clair et précis
Si je peux me permettre quelques remarques

Prenons exemple sur un formulaire d’authentification, puisque c’est là que ce genre d’exploitation est la plus intéressante.

Il y a aussi une autre grosse utilisation de ce genre de faille. C'est de pouvoir afficher des données qui ne nous sont pas accessibles.

Je suis sur que toute personne ayant déjà regardé de plus près une URL a déjà vu ce genre de chose :

Code :

http://site.com/article.php?id=255

Et bien ici aussi il existe une potentielle faille.

Voyons un code vulnérable et assez simpliste:

Code PHP :

<?php
    
    $id = $_GET['id'];
    $res = mysql_query("select titre, contenu from article where id='".$id."'");
    $row = mysql_fetch_array($res);
    
    echo "<h2>".$row['titre']."</h2>";
    
    echo "<p>".$row['contenu']."</p>";
    
?>

Ce code devrait parfaitement fonctionner jusqu'à ce qu'un petit malin vienne jouer avec la variable $id qui n'est pas sécurisé.

Pour vérifier que faille il y a il suffit de tester le caractère ' a la fin du chiffre qui représente l'id de l'article.

Exemple :

Code :

http://site.com/article.php?id=255'

Si une erreur se produit lors de l'affichage de la page cela signifie que la faille existe. il ne reste plus qu'à l'exploiter.

Pour cela il faut jouer avec un mot clé de SQL qui est UNION ALL.
Dans une requête SQL UNION ALL permet d'obtenir toutes les données de plusieurs tables.

La première étape lors de ce genre d'exploitation consiste à "brute-forcer" pour connaitre le nombre de champ utilisé dans la requête à modifier.

select titre, contenu from article

Ici je pars du principe que la faille se trouve sur un CMS et donc que l'on a accès à la structure de la table. Lorsque ce n'est pas le cas il existe différentes manières pour les obtenir...

Revenons en à notre brute-force et passons à la pratique.

Code :

Test 1 : http://site.com/article.php?id=0' union all select 1 from article --

Explications :

• l'apostrophe permet de fermer la chaine de caractère et ainsi injecter notre code.
  
• UNION ALL permettra d'afficher les données d'une autre table.
  
• -- permet de mettre la suite de la requête en commentaire pour qu'elle ne soit pas exécutée.
  
• le fait de mettre un 0 comme ID permettra d'afficher uniquement les données de l'autre table et non les données relative à un article existant.
  

Cette requête nous renverra une erreur car la requête initiale utilise 2 champs : Titre et contenu.

Code :

Test 2 : http://site.com/article.php?id=0' union all select 1,2 from article --

Bingo !!
Cette requête affichera dans la page 1 à la place du titre et 2 à la place du contenu
Dans ce cas là ce fut plutôt rapide car il n'y avait que 2 champs, mais cela peut-être beaucoup plus long s'il y a plus de champs.


Une fois arrivé ici il suffit de remplacer les 1 et 2 par les données sensibles qui nous intéressent comme les identifiants de connexion d'un admin

Exemple :

Code :

http://site.com/article.php?id=0' union all select user,password from users --

En espérant avoir été clair

Adns