Discussion :

[allexpert]

Bonjour
J'ai lu quelques articles sur l'injection de code SQL.
J'ai commencer a filtrer le contenu de tout les champs de saisi transmit vers le serveur.
J’ai entrepris de faire une simulation en utilisant le query analyzer avant de faire le test depuis un environnement web.
Voici le code que j'ai testé.
Je soumets une requête en utilisant une procédure stockée.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

exec SP_Test 'AAA@hotmail.com'

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
 
CREATE PROCEDURE [dbo].[SP_Test] 
@AdresseCourriel varchar(75)
 
AS
		--Vérifi si le compte a été activé
IF (SELECT   Activation FROM  TBL_Activation  WHERE (AdresseCourriel = @AdresseCourriel )) = 1
 
  BEGIN
	SELECT 'Flag'='true'
  END
ELSE --Si le compte na pas été activé
  BEGIN
      SELECT 'flag'='false' ,'test'=@AdresseCourriel 
  END
GO

Ce que je voulais faire c'est de remplacer la fin du SELECT avec les instructions passé a la variable @AdresseCourriel
En modifiant l'appel de la procédure comme sui j'aurais cru avoir le même résultat.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

exec SP_Test 'AAA@hotmail.com)) = 1 --'

Mais dans ce cas FLAG = FALSE

Dois-je comprendre qu’en utilisant une procédure stockée l’injection de code ne fonctionne pas ? ou que ma tentative d'injection est mal écrite?

Merci pour vos suggestion et commentaire

[Sergejack]

Je t'invite à lire sur "sp_executesql", ça t'intéresserait sans doute.

[allexpert]

sp_executesql (Transact-SQL)

Exécute une instruction ou un traitement d'instructions Transact-SQL, réutilisable plusieurs fois ou créé dynamiquement. L'instruction ou le traitement d'instructions Transact-SQL peut contenir des paramètres incorporés.

Que veule t'il dire par réutilisable
http://msdn.microsoft.com/fr-fr/library/ms188001.aspx
Je ne comprand pas quel est l'avantage de travailler avec sp_executesql
Dans les exemples qu'il donne il définisse la requête et utilise le sp_executesql
a l'intérieur d'une procédure stockée.

Il y a un lien vers un texte a propos de l'injection très intéressant à lire.
http://msdn.microsoft.com/fr-fr/library/ms161953.aspx
Mais je n’arrive toujours pas à faire une simulation d’injection.
Et je ne comprend pas plus pourquoi sa ne fonctionne pas.

Si je met en place des moyens pour éviter d’être injecter et que je ne peu pas les tester
C’est pas très malin