Actualités

Détection d'injections SQL

    Image pour le titre du contenu
    Stefan Esser a publié une nouvelle version de son patch sécurité suhosin, pour détecter automatiquement des injections SQL. Il s'agit d'un analyseur qui se branche directement sur les fonctions mysql_query et mysqli_query, pour identifier des requêtes inhabituelles :
    des commentaires, des commentaires non fermés, des Union et des selections multiples.

    Quoique très simples, ces détections devraient permettre d'intercepter un grand nombre de tentatives. Il me semble que la détection des UNION est un peu stricte, mais il est effectivement rare que j'en utilise, et Stefan confirme que c'est le cas de la majorité des applciations Open Source.

    Il serait intéresant de compléter la recherche avec des conditions idiotes comme 1 = 1, qui sont de la mauvaise programmation PHP de toutes manières.

    Commentaires
    Donc si je comprend bien, cette clause est ignorée par Mysql, donc où est l'interet de la mettre dans une requete ?
    Est-ce necessaire à mysql dans certain cas pour retourner des resultats ?
    Envoyé par vuillaume, le lundi 01 janvier 2007 à 16:24

    on voit souvent des conditions 1 = 1 dans les exemples d'injection SQL, ainsi que dans les scripts qui construisent des clauses Where : la condition 1 = 1 sert surtout de cas par défaut, si jamais il n'y a aucun critère de recherche. (voire Google code search pour en trouver facilement, du type : WHERE 1 = 1'; // stupid but permit using AND after it !)

    Evidemment, les prochaines injections SQL seront peut être en 2 = 2 ou 22 = 22 ou ...

    En termes de performances, il semble que MySQL soit capable de répérer les conditions constantes, et les ignorer. Un test rapide avec where 1 =1 et sans donne des résultats identiques sur des versions récentes.
    Envoyé par Damien Seguy, le dimanche 31 décembre 2006 à 16:40

    Quel est vraiment l'impact ce la condition '1 = 1' ? rapidité, injection, etc...
    Quelqu'un aurait des remarques a propos de ca ?
    Envoyé par vuillaume, le samedi 30 décembre 2006 à 20:18

     1 
    Vous devez vous connecter pour commenter