Code injection

I-Définition de l'injection de code:

Une injection de code est une attaque informatique au cours de laquelle un attaquant parvient à
introduire et à exécuter du code malveillant dans une application, un système ou un environnement
informatique. Cette technique exploite souvent des failles de sécurité dans le traitement des données
d'entrée par le logiciel ciblé. elle survient quand le site présente la vulnérabilité de ne pas vérifier
les entrées et exécute directement ce qu'il reçoit.

II-Comprendre comment les attaquants utilisent l'injection de code pour

compromettre les systèmes :
Exploitation des Entrées Utilisateur : Les applications interactives traitent souvent des données
fournies par les utilisateurs, que ce soit à travers des formulaires web, des champs de recherche, des
paramètres d'URL, etc. Du coup Les attaquants exploitent ces points d'entrée en injectant du code
malveillant dans les données soumises.
Contournement des Contrôles d'Accès : Les injections de code sont souvent utilisées pour
contourner les mécanismes de contrôle d'accès. Par exemple, en exploitant une injection SQL, un
attaquant peut modifier une requête pour ignorer la vérification du nom d'utilisateur et du mot de
passe, lui permettant ainsi de s'authentifier sans les bonnes informations.
Exécution de Commandes Système : Dans le cas d'une injection de commandes, les attaquants
peuvent exploiter des champs de saisie ou des paramètres pour injecter des commandes système
malveillantes. Cela peut leur permettre d'exécuter des opérations sur le serveur, telles que la création
de comptes d'utilisateurs, la modification de fichiers système, voire la prise de contrôle totale de la
machine.
Vol de Sessions Utilisateur : Les injections de code peuvent être utilisées pour voler des sessions
utilisateur. Par exemple, avec une injection de code JavaScript (XSS), un attaquant peut injecter du
code qui s'exécutera chez les utilisateurs finaux, capturant leurs sessions et envoyant les données
sensibles à un serveur contrôlé par l'attaquant.
Modification de Contenu Dynamique : Dans certains cas, les attaquants peuvent utiliser des
injections de code pour modifier dynamiquement le contenu d'une page web ou d'une application. Cela
peut être utilisé pour afficher du contenu malveillant, des publicités indésirables, voire des liens vers
des sites web frauduleux.
Déni de Service : Bien que moins courant, l'injection de code peut également être utilisée pour
effectuer des attaques par déni de service. Par exemple, en exploitant une vulnérabilité dans le
traitement des requêtes, un attaquant peut envoyer des requêtes malveillantes qui surchargent le
serveur, entraînant une interruption de service.

III-Types d'injections de code

Injection SQL (SQLi)
Injection de commandes (Command Injection)
 Injection de code JavaScript (XSS)
Injection de code côté serveur

A-Injection SQL (SQLi)

1-Explication de ce qu'est l'injection SQL
L'injection SQL est une technique d'attaque informatique qui exploite les failles de sécurité dans les
applications web interagissant avec des bases de données. L'objectif principal de l'injection SQL est
d'injecter du code SQL malveillant dans les requêtes SQL de manière à manipuler la base de données
sous-jacente.
L'injection SQL se produit généralement lorsque des données utilisateur non fiables sont incorporées
directement dans des requêtes SQL sans être correctement validées ou échappées. Cela peut se
produire dans des formulaires Web, des champs de recherche, des paramètres d'URL, etc.

2-Exemple concret de comment un attaquant peut exploiter une faille SQLi

3-Mesures préventives : utilisation de requêtes paramétrées et validation des données d'entrée

B-Injection de commandes (Command

Injection)
1-Comprendre comment les attaquants peuvent exécuter des commandes système malveillantes
2-Exemple d'une attaque de type command injection
3-Mesures préventives : validation stricte des entrées, utilisation de commandes sécurisées

C-Injection de code JavaScript (XSS)

1-Explication de l'injection de code JavaScript dans les pages web
2-Scénarios d'attaque XSS
3-Mesures préventives : filtrage des entrées, utilisation de bibliothèques de sécurité

D-Injection de code côté serveur

1-Comprendre comment les attaquants injectent du code malveillant dans les scripts côté
serveur
2-Exemple pratique
3-Mesures préventives : validation et filtrage des données côté serveur