"sqlmap is an automatic SQL injection tool entirely developed in Python. It is capable to perform an extensive database management system back-end fingerprint, retrieve remote DBMS databases, usernames, tables, columns, enumerate entire DBMS, read system files and much more taking advantage of web application programming security flaws that lead to SQL injection vulnerabilities."

(petit lien)

Super, maintenant les apprantis-hackers pourront encore mieux hacker les apprentis-codeurs !
Les derniers sont content d'afficher leur premier "hello world!" sorti de leur db, et les premiers seront tout aussi content de le transformer en "[_]3 //h4ck3d by C0Ff33 </> Hello world !"
C'est peut-être grâce à lui que depuis le début de l'année les attaques par injection SQL sont légion tout à coup..

De toute façon, toutes mes applis web ne tournent que sur des utilisateurs qui n'ont que des droits de lecture, uniquement sur des tables bien spécifiques. Et encore, parfois, ils peuvent rien faire du tout, et je les envoie bouler.

Wahou dis donc...

Petite question pour m'ôter un doute : Est-ce qu'une bonne configuration d'Apache et l'utilisation de mysql_real_escape_string() dans la dernière vesion de PHP en date suffit à éviter tous types d'injections ?

Oui, même sans avoir de version particulière, l'utilisation intensive de mysql_real_escape_string() est suffisante.

Après on sort des attaques de type "injection sql", et on entre dans le hacking de haut vol

Bon ça me rassure alors, ma classe homemade protège bien toutes mes requêtes

Autre solution de sécurité, si l'on est en PHP 5 : utiliser les requêtes préparées de PDO.

Un peu de lecture dans le manuel et d'emplettes avec PHP avancé (disponible aussi sous un format "semi-poche" ).