Sécurité · Question 5 sur 12
Qu'est-ce que l'injection SQL ?
1 réponse est correcte. Facile
Afficher la solution
Solution
- A Une saisie est intégrée dans une requête SQL de manière à en changer le sens
Explication
Dans une injection SQL, une valeur de la requête est insérée directement dans le texte SQL, par exemple "WHERE title = '" . $title . "'". Si un attaquant saisit ' OR '1'='1, la requête renvoie soudain tous les enregistrements, ou pire, supprime ou lit d'autres données. Dans TYPO3, on l'évite en passant les valeurs dans le QueryBuilder avec createNamedParameter() ou en utilisant la query Extbase ; les valeurs parviennent alors à la base de données séparément du texte SQL. La surcharge par de nombreuses requêtes est une attaque par déni de service et n'a rien à voir avec l'injection de SQL.