Discussion :

[Info2008]

Salut tous le monde !! voila, j'ai un exposé à faire sur les failles SQL, en cherchant sur internet j'ai pu trouver des tuto sur les injections SQL mais ce n'est pas suffisant, ça serai bien si vous m'aidiez un peu

Merci d'avance !!!

[Mathusalem]

bizarre ton exposé

SQL n'est qu'une norme, il faudra m'expliquer comment une norme peut avoir des failles (on parle bien de sécurité ?)

[scheu]

Les injections SQL ne sont pas une faille du SQL proprement dit, mais plutôt une conséquence de mauvais développeurs qui laissent la possibilité à un utilisateur d'une application de renseigner des champs en utilisant des mots clés SQL comme insert, create, update, delete.
L'idéal pour éviter cela étant de contrôler que les valeurs renseignées par l'utilisateur ne contiennent pas ces mots-clé avant d'exécuter les requêtes associées sur la base

[Info2008]

je parle bien de sécurité, donc la je ne sais pas , le prof nous a dit votre thème c'est les failles SQL, donc la je ne sais pas si je dois m'interesser à SQL server??? vous en pensez quoi?
Merci

[Antoun]

J'en pense que tu devrais demander à ton prof ce qu'il veut dire par "faille SQL".

[scheu]

Les failles SQL peuvent très bien exister que ce soit sur SQL Server, Oracle, MySQL, ... elles sont côté application cliente et non côté serveur base de données (cf mon post précédent). Il faut juste s'assurer que si l'utilisateur renseigne des champs à la main, il ne peut pas passer renseigner des mots-clé SQL qui permettraient, au lieu d'avoir une seul requête passée à la base, d'en avoir plusieurs concaténées et ainsi de pouvoir lui-même exécuter des requêtes sur la base pour s'octroyer des droits, créer un nouvel utilisateur bdd, ou modifier les données (bien sûr par contre ces requêtes sont différentes selon la base car créer un utilisateur sur MySQL ou SQL Server ce n'est pas la même syntaxe, mais la faille en elle-même n'est pas liée à une base ou une autre, si l'application est mak développée tu peux en avoir sur MySQl comme sur SQL Server).

Cherches sur internet il y a des exemples simples de failles SQL

[Xo]

Salut,

cf http://securite.developpez.com/faq/?..._sql_injection

Les mots clés à utiliser pour une recherche sur ce sujet sont donc plutôt "SQL injection"

[Info2008]

merci tout le monde !!!