6. Outils d’exploitation : sqlmap et Burp Suite

Les techniques manuelles présentées dans les chapitres précédents illustrent le principe de l’injection SQL, mais les pentesteurs professionnels s’appuient en pratique sur des outils dédiés, bien plus rapides et fiables. Cette unité présente les deux références du domaine : sqlmap et Burp Suite.

sqlmap : l’automatisation de bout en bout

sqlmap est un outil en ligne de commande, open source, spécialisé exclusivement dans la détection et l’exploitation des injections SQL. Il automatise l’ensemble du processus : détection du point d’injection, identification du type de base de données, extraction des tables et des données, voire exécution de commandes système dans certains contextes.

Détecter une injection avec sqlmap

sqlmap -u "http://cible-de-test.local/produit.php?id=1"

Cette commande teste automatiquement le paramètre id pour détecter la présence d’une injection SQL, en essayant successivement de nombreuses charges utiles correspondant aux différentes familles présentées dans ce cours (classique, UNION, aveugle booléenne, aveugle temporelle).

Lister les bases de données puis extraire une table

sqlmap -u "http://cible-de-test.local/produit.php?id=1" --dbs
sqlmap -u "http://cible-de-test.local/produit.php?id=1" -D boutique --tables
sqlmap -u "http://cible-de-test.local/produit.php?id=1" -D boutique -T utilisateurs --dump

Ces trois commandes illustrent une progression typique : lister les bases accessibles, lister les tables d’une base ciblée, puis extraire intégralement le contenu d’une table précise, ici la table des utilisateurs.

Burp Suite : l’interception et l’analyse de trafic

Burp Suite est un proxy d’interception qui se place entre le navigateur et l’application testée, permettant d’observer et de modifier chaque requête HTTP avant son envoi. Il est particulièrement utile pour repérer les paramètres susceptibles d’être vulnérables (champs de formulaire, en-têtes, cookies) avant de les tester plus en profondeur avec sqlmap.

Le module Intruder

Le module Intruder de Burp Suite permet d’automatiser l’envoi de multiples charges utiles sur un même paramètre, en observant les variations de taille de réponse ou de temps de traitement, ce qui est particulièrement adapté à la détection d’injections aveugles sans avoir recours à un outil externe.

Pourquoi combiner les deux outils

En pratique, Burp Suite sert à cartographier l’application et à repérer les paramètres suspects, tandis que sqlmap prend le relais pour automatiser l’exploitation complète une fois un point d’injection potentiel identifié. Cette complémentarité explique pourquoi les deux outils figurent presque systématiquement dans la boîte à outils d’un testeur d’intrusion web.

Une démonstration volontairement limitée

Ce cours présente ces outils dans un cadre strictement pédagogique et sur des environnements de test maîtrisés. Leur usage sur une application tierce sans autorisation constitue une infraction, rappelée dans l’introduction du cours.