{"id":478,"date":"2008-07-30T20:24:53","date_gmt":"2008-07-30T19:24:53","guid":{"rendered":"http:\/\/www.combell.com\/?p=478"},"modified":"2022-11-17T15:43:41","modified_gmt":"2022-11-17T14:43:41","slug":"combell-tech-linjection-sql-est-desormais-egalement-populaire-sur-les-sites-web-en-coldfusion","status":"publish","type":"post","link":"https:\/\/www.combell.com\/fr\/blog\/combell-tech-linjection-sql-est-desormais-egalement-populaire-sur-les-sites-web-en-coldfusion\/","title":{"rendered":"COMBELL Tech : l\u2019injection SQL est d\u00e9sormais \u00e9galement populaire sur les sites web en ColdFusion"},"content":{"rendered":"![\"\"](\"https:\/\/www.combell.com\/fr\/blog\/files\/2008\/07\/coldfusion.jpg\")
Ces 3 derniers mois, partout dans le monde, il a beaucoup \u00e9t\u00e9 question d\u2019un nouveau type d\u2019'injection SQL' qui a infect\u00e9 globalement plus d\u2019un demi million de sites web. Cette forme de piratage informatique vise principalement la base de donn\u00e9es sous-jacente et a pour but d\u2019effectuer le plus possible de modifications dans la base de donn\u00e9es. COMBELL a \u00e9tudi\u00e9 ce ph\u00e9nom\u00e8ne et fournit des astuces permettant d\u2019\u00e9viter les abus.<\/p>\n
Jusqu\u2019\u00e0 il y a peu, cette nouvelle tendance n\u2019avait \u00e9t\u00e9 constat\u00e9e que sur des sites programm\u00e9s en ASP ou en ASP.NET. Maintenant, nous constatons que les sites web en ColdFusion sont \u00e9galement vis\u00e9s. Bien que le langage de programmation utilis\u00e9 soit une variable, il y a toutefois certaines constantes :<\/p>\n
- La cause est toujours une fuite de code
\n- La base de donn\u00e9es sous-jacente est toujours une base de donn\u00e9es Microsoft SQL Server
\n- On constate que du code JavaScript est inject\u00e9 parmi les donn\u00e9es pr\u00e9sentes dans votre base de donn\u00e9es<\/p>\n
Ce ne sont certainement pas des constantes fortuites, puisqu\u2019elles sont \u00e0 la base de l\u2019injection : gr\u00e2ce au manque de validation et de s\u00e9curit\u00e9 des param\u00e8tres des URL, les pirates r\u00e9ussissent \u00e0 injecter leurs propres instructions SQL. Pour ce faire, ils n\u2019ont besoin d\u2019aucun identifiant, puisque le script leur fournit l\u2019acc\u00e8s \u00e0 la base de donn\u00e9es.<\/p>\n
L\u2019architecture de Microsoft SQL Server contribue \u00e0 leur port\u00e9e et \u00e0 leur impact : le data dictionary inclus dans diff\u00e9rentes tables de la base de donn\u00e9es peut \u00eatre utilis\u00e9 pour r\u00e9pertorier toutes les tables et tous les champs. Via la table \u00ab dbo.sysobjects \u00bb, les pirates obtiennent un aper\u00e7u de toutes les tables disponibles, via \u00ab dbo.syscolumns \u00bb, ils peuvent d\u00e9couvrir (par table) quels champs sont pr\u00e9sents et pour finir, via \u00ab dbo.systypes \u00bb, ils peuvent savoir quels champs peuvent contenir des valeurs alphanum\u00e9riques. Cette combinaison permet aux pirates de remplacer tous les champs alphanum\u00e9riques par leur propre texte, sans m\u00eame conna\u00eetre concr\u00e8tement la structure de votre base de donn\u00e9es.<\/p>\n
Cela nous m\u00e8ne finalement \u00e0 la derni\u00e8re constante, \u00e0 savoir la pr\u00e9sence de code JavaScript. L\u2019injection SQL n\u2019est pas la fin en soi de cette op\u00e9ration. Le but final de ces pirates est d\u2019int\u00e9grer de petites portions de code JavaScript aux donn\u00e9es alphanum\u00e9riques saines contenues dans les tables. Ce faisant, les pirates esp\u00e8rent que ces donn\u00e9es seront trait\u00e9es comme du code HTML sur le site et qu\u2019ainsi, le code JavaScript sera \u00e9galement ex\u00e9cut\u00e9 dans le tas. Le code JavaScript en question g\u00e9n\u00e8re un lien pointant vers du code qui est h\u00e9berg\u00e9 sur des sites malveillants et qui contient des virus. Dans de nombreux cas, il s\u2019agit de sites russes et chinois.<\/p>\n
Maintenant que cette infestation se rencontre \u00e9galement dans le monde de ColdFusion, il est important de proc\u00e9der \u00e0 l\u2019assainissement de ses bases de donn\u00e9es en maintenant \u00ab propres \u00bb les instructions SQL. Via ColdFusion, cela peut se faire facilement via la balise \u00ab CFQUERYPARAM \u00bb. Ainsi, on peut faire en sorte qu\u2019un param\u00e8tre de requ\u00eate ne contienne pas de donn\u00e9es \u00ab interdites \u00bb.<\/p>\n","protected":false},"excerpt":{"rendered":"
Ces 3 derniers mois, partout dans le monde, il a beaucoup \u00e9t\u00e9 question d\u2019un nouveau type d\u2019'injection SQL' qui a infect\u00e9 globalement plus d\u2019un demi million de sites web. Cette...<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_uag_custom_page_level_css":"","footnotes":""},"categories":[67,62],"tags":[],"acf":[],"uagb_featured_image_src":{"full":false,"thumbnail":false,"medium":false,"medium_large":false,"large":false,"1536x1536":false,"2048x2048":false,"post-featured":false,"post-featured-opt":false,"post-featured-opt-md":false,"post-featured-opt-sm":false,"post-featured-opt-xs":false,"post-most-popular":false,"post-author":false},"uagb_author_info":{"display_name":"Tom","author_link":"https:\/\/www.combell.com\/fr\/blog\/author\/tom\/"},"uagb_comment_info":0,"uagb_excerpt":"Ces 3 derniers mois, partout dans le monde, il a beaucoup \u00e9t\u00e9 question d\u2019un nouveau type d\u2019'injection SQL' qui a infect\u00e9 globalement plus d\u2019un demi million de sites web. Cette...","_links":{"self":[{"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/posts\/478"}],"collection":[{"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/comments?post=478"}],"version-history":[{"count":2,"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/posts\/478\/revisions"}],"predecessor-version":[{"id":7762,"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/posts\/478\/revisions\/7762"}],"wp:attachment":[{"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/media?parent=478"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/categories?post=478"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.combell.com\/fr\/blog\/wp-json\/wp\/v2\/tags?post=478"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}