Tester les vulnérabilités par injection

Une injection se produit lorsque des données non fiables sont envoyées à un interpréteur comme partie d'une commande ou d'une requête. L'interpréteur ne peut pas distinguer les données des commandes et exécute une logique contrôlée par l'attaquant. Les injections SQL, de commandes, LDAP, XPath et de modèles appartiennent toutes à cette catégorie.

Commencez par des charges utiles simples pour rechercher une injection SQL. Une apostrophe provoque une erreur de syntaxe SQL dans les applications vulnérables. Vérifiez les messages d'erreur, les différences de longueur des réponses et le temps de réponse.

SQLMap automatise la détection et l'exploitation de l'injection SQL  : il détecte les points d'injection, identifie le DBMS et peut extraire des bases de données, utiliser l'opération read pour lire des fichiers et obtenir l'exécution de code au niveau de l'OS sur des systèmes vulnérables.

L'injection de commandes se produit lorsque l'entrée utilisateur est transmise aux fonctions du shell de l'OS. Testez avec des métacaractères du shell  : points-virgules, barres verticales, accents graves et substitution de commande $().

L'injection LDAP manipule les requêtes LDAP utilisées pour l'authentification et les recherches dans l'annuaire. Testez les champs d'authentification avec  : *)(uid=*))(|(uid=* pour contourner les filtres.

L'injection XPath cible les systèmes d'authentification basés sur XML. Comme pour l'injection SQL, les charges utiles manipulent les requêtes XPath  : ' or '1'='1 pour contourner l'authentification.

L'injection de modèle côté serveur se produit lorsque l'entrée utilisateur est rendue par un moteur de modèles (Jinja2, Twig, Freemarker). Pour la détecter, injectez {{7*7}}  : si la réponse affiche 49, une SSTI est présente.

Envoyez les requêtes à Repeater et injectez manuellement des charges utiles dans chaque paramètre. Utilisez Intruder pour automatiser les tests aléatoires avec des listes de mots d'injection (SecLists contient d'excellentes charges utiles d'injection).

Lorsqu'aucune sortie n'est visible, utilisez  : des délais pour confirmer l'exécution, des rappels DNS OOB (Burp Collaborator ou interactsh) et des réponses fondées sur des booléens (changements de longueur du contenu).

Les erreurs détaillées révèlent le type de base de données, la structure de la requête et les chemins de fichiers — des informations inestimables pour élaborer des charges utiles précises. Testez toujours avec des entrées révélant le débogage ou les erreurs en plus des charges utiles normales.

L'injection est évitée grâce aux requêtes paramétrées (injection SQL), à la validation des entrées et à l'échappement du shell (injection de commandes), ainsi qu'à l'absence de rendu de modèles à partir des entrées utilisateur (SSTI). Les développeurs doivent comprendre ces principes pour écrire du code sécurisé.

Que confirme la charge utile de détection de la SSTI {{7*7}} lorsque la réponse affiche 49 ?

Les vulnérabilités par injection sont causées par le mélange des données et des commandes. Testez chaque entrée contrôlée par l'utilisateur avec des charges utiles d'injection SQL, de commandes, de modèles et LDAP. Utilisez SQLMap pour automatiser l'injection SQL, Burp Repeater pour les tests manuels et les techniques de délai/OOB pour l'exploitation à l'aveugle. Documentez toujours les charges utiles et les éléments probants dans le rapport.