Outils d'utilisateurs

Outils du Site


failles_web:sql_injection

Ceci est une ancienne révision du document !


Injection SQL

Introduction

Pour dynamiser un site on est très souvent amené à utiliser des bases de données afin de stocker des informations. Par exemple, un site d'information stockera ses news dans sa base de donnée. Pour parler avec cette base de données le développeur va utiliser un langage spécial : le SQL.

-- Exemple d'une requête simple
SELECT titre,auteur,contenu FROM news WHERE id = 1337

Maintenant, imaginons que chaque news est chargé dynamiquement à partir d'un paramètre de l'URL

<?php
 
mysql_connect("localhost","root","root");
mysql_select_db("sqli");
 
$news = mysql_query("SELECT titre,auteur,contenu FROM news WHERE id = ".$_GET['id']);
$news = mysql_fetch_assoc($news);
 
echo "<h1>".$news['titre']."</h1> par <i>".$news['auteur']."</i><br/>";
echo "<p>".$news['contenu']."</p>";
failles_web/sql_injection.1339753402.txt.gz · Dernière modification: 2017/04/09 15:33 (modification externe)