Protéger les comportements de serveur PHP contre la vulnérabilité d'injection SQL

Problème

Certaines bases de données vous permettent d’envoyer plusieurs instructions SQL dans une seule requête de recherche. Par conséquent, il existe des risques de sécurité potentiels lorsque vous transmettez des paramètres dans une chaîne de requête à une requête de base de données générée dynamiquement. Les pirates pourraient tenter de modifier l'URL ou les variables de formulaire dans une requête dynamique en ajoutant des instructions SQL malveillantes aux paramètres existants. Cela est souvent connu sous le nom d’attaque par injection de code SQL. Une partie du code de comportement de serveur créé par Dreamweaver doit être modifiée afin de réduire le risque d’attaques par injection de code SQL. Pour obtenir des informations supplémentaires sur les attaques par injection de code SQL, voir cet article Wikipedia. (N° de référence : 201713)

Remarque : Le problème décrit dans cette note technique a été corrigé dans la mise à jour Dreamweaver 8.0.2.

Cette note technique couvre les comportements de serveur PHP de Dreamweaver. Il existe des notes techniques distinctes pour les comportements de serveur ColdFusion, ASP VBScript, ASP JavaScript et JSP.Les comportements de serveur ASP.NET ne sont pas affectés.

Solution

Lorsque vous laissez une chaîne de requête transmettre un paramètre, assurez-vous que seules les informations attendues sont transmises. Adobe a créé une mise à jour Dreamweaver 8.0.2 qui réduit le risque d'attaques par injection SQL. Ces corrections seront intégrées dans toutes les futures versions de Dreamweaver. Après avoir mis à jour Dreamweaver 8, vous devrez appliquer à nouveau les comportements de serveur aux pages qui les utilisent, et redéployer ces pages sur votre serveur.

Le reste de cette note technique explique comment modifier manuellement le code Dreamweaver MX 2004 pour empêcher les attaques par injection SQL avec le modèle de serveur PHP.Les comportements de serveur vulnérables à ces attaques sont répertoriés ci-dessous, avec les corrections correspondantes :

• Jeu d’enregistrements avec un filtre
• Comportements de serveur Insérer, Mettre à jour et Supprimer un enregistrement et assistant Formulaire d'insertion d'enregistrement
• Connecter l'utilisateur
• Vérifier un nouvel utilisateur
• Ensemble de maquettes de détails
• Assistant de formulaire de mise à jour d'enregistrement

Jeu d’enregistrements avec un filtre

Les jeux d’enregistrements non filtrés n’ont pas besoin d’être modifiés, au contraire des jeux d’enregistrements filtrés. Dans l'exemple ci-dessous, un jeu d'enregistrements Dreamweaver MX 2004 nommé « rs_byDate » est filtré par une valeur de date transmise depuis un paramètre d'URL. Le code surligné ci-dessous est ce qui doit être modifié :

<?php $colname_rs_byDate = &quot;1&quot;; if (isset($_GET[&apos;relDate&apos;])) { $colname_rs_byDate = (get_magic_quotes_gpc()) ?$_GET['relDate'] : addslashes($_GET['relDate']); } mysql_select_db($database_dreamqa2, $dreamqa2); $query_rs_byDate = sprintf("SELECT * FROM albums WHERE relDate = '%s'", $colname_rs_byDate); $rs_byDate = mysql_query($query_rs_byDate, $dreamqa2) or die(mysql_error()); $row_rs_byDate = mysql_fetch_assoc($rs_byDate); $totalRows_rs_byDate = mysql_num_rows($rs_byDate); ?>

Pour protéger le jeu d'enregistrements contre les attaques par injection SQL, une fonction GetSQLValueString() personnalisée doit être créée près du haut de la page. Cette fonction vérifie le type de données du paramètre de requête. Une fois la fonction créée, mettez ensuite à jour le code du jeu d'enregistrements pour utiliser la fonction GetSQLValueString().

Comportements de serveur Insérer, Mettre à jour et Supprimer l'enregistrement et assistant Formulaire d'insertion d'enregistrement

Les comportements de serveur Insérer, Mettre à jour et Supprimer l'enregistrement et l'assistant Formulaire d'insertion d'enregistrement utilisent déjà la fonction GetSQLValueString(), ils doivent donc être affinés pour empêcher les injections SQL. Les seules modifications nécessaires se trouvent dans la fonction GetSQLValueString().

Voici le code original. La ligne à modifier est surlignée en jaune :

if (!function_exists("GetSQLValueString")) { function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") {$theValue = (!get_magic_quotes_gpc()) ? addslashes($theValue) : $theValue; switch ($theType) { case "text": $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; break; case "long": case "int": $theValue = ($theValue != "") ? intval($theValue) : "NULL"; break; case "double": $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL"; break; case "date": $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; break; case "defined": $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue; break; } return $theValue; } }

Mettez à jour la définition de la variable $theValue :

Code d'origine :

$theValue = (!get_magic_quotes_gpc()) ? addslashes($theValue) : $theValue;

Code sécurisé modifié :

$theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue; $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);

Comportement de serveur de connexion de l’utilisateur

Voici les étapes pour corriger le comportement du serveur Connexion utilisateur :

Comportement de serveur de vérification de nouvel utilisateur

Le comportement de serveur de vérification de nouvel utilisateur nécessite au préalable l’ajout d’un comportement de serveur d’insertion d’enregistrement à la page. La fonction GetSQLValuesString() est incluse avec le comportement serveur Insérer un enregistrement. Il suffit de mettre à jour GetSQLValuesString() pour mieux gérer l'injection SQL et de mettre à jour le comportement serveur Check New User pour utiliser cette fonction lorsqu'un paramètre est transmis.

Ensemble de maquettes de détails

Pour l’objet d’application d’ensemble de maquettes de détails, les modifications concernent principalement le jeu d’enregistrements que Dreamweaver crée pour la page de détails. Si vous ne disposez pas d’un jeu d’enregistrements filtré dans la maquette, celle-ci ne requiert aucune modification. Si vous avez un jeu d'enregistrements filtré, consultez jeu d'enregistrements avec un filtre pour mettre à jour le code du jeu d'enregistrements.

Dreamweaver crée un jeu d'enregistrements filtré dans la page de détail, de sorte que le code de ce jeu d'enregistrements doit être mis à jour pour utiliser une fonction GetSQLValueString() afin de transmettre les paramètres et sprintf() pour construire la chaîne SQL.

Assistant formulaire de mise à jour d'enregistrement

Informations supplémentaires

Veuillez vous reporter à l'article suivant pour plus d'informations sur l'injection SQL : Article Wikipedia sur l'injection SQL.

Bulletin de sécurité Adobe : APSB 06-07 Vulnérabilité d'injection SQL dans le comportement serveur Dreamweaver.