Injection, correction, restauration

LABO-U6-S2-06

Contexte — Vous reprenez l'application de suivi des chantiers de TechnoVert. Elle marche, mais elle range ses données dans un fichier. Hélène Vasseur veut qu'elles passent dans la base MySQL de l'entreprise.

Un collègue a repris une vieille page écrite par l'ancien prestataire. Elle colle la saisie dans sa requête. Vous allez le prouver, puis corriger.

À la fin de ce labo, vous saurez brancher une application sur MySQL, isoler l'accès aux données, corriger une injection SQL et prouver une restauration.

Comment ça se valide — à chaque point de contrôle, vous montrez votre résultat au formateur. Il valide, puis vous passez à la suite.

Les mots de la séance

Ce dont vous avez besoin

• Votre poste Windows, avec XAMPP, Python, VS Code et un navigateur.
• Annexe A1 : l'application de départ et son mode d'emploi. Le dossier se télécharge dans A1_technovert_web.zip.
• Annexe A2 : le jeu de données de la base, fichier A2_technovert.sql.
• Annexe A3 : le compte MySQL de l'application, fichier A3_compte_appli.sql.
• Annexe A4 : le fichier d'environnement à remplir.
• Annexe A5 : un extrait de la documentation du connecteur MySQL.
• Annexe A6 : le script de vérification, fichier A6_verifier_base.py.

En binôme — le pilote tape, le lecteur lit les consignes et les annexes à voix haute, et vérifie chaque résultat. On inverse à la partie C.

Le plan du labo

PARTIE A — Brancher l'application

Étapes 1 à 6, environ 35 min. À la fin, l'application affiche les chantiers lus dans MySQL.

Besoin d'un rappel ? Revoir le cours : « Parler à la base depuis Python ».

• Téléchargez A1_technovert_web.zip depuis l'annexe A1. Faites un clic droit dessus, « Extraire tout », puis avec « Parcourir », choisissez votre dossier « Documents ».
• Ouvrez le dossier Documents\technovert-web dans VS Code. Ouvrez un terminal : menu « Terminal », puis « Nouveau terminal ».
• Ouvrez le panneau de contrôle de XAMPP. Cliquez sur « Start », en face de « MySQL ».

Vous devez voir : « MySQL » en vert dans le panneau de XAMPP. Dans VS Code, le dossier contient app.py, acces_bdd.py et les fichiers A2_technovert.sql, A3_compte_appli.sql, A6_verifier_base.py.

• Dans le terminal, vérifiez que la commande mysql répond :

mysql --version

• Chargez le jeu de données, puis le compte de l'application :

mysql -u root -e "source A2_technovert.sql"
mysql -u root -e "source A3_compte_appli.sql"

• Vérifiez que la base existe :

mysql -u root -e "SELECT COUNT(*) FROM technovert.chantier;"

Vous devez voir : aucun message pour les deux premières commandes, puis un petit tableau avec le nombre 6.

La couche d'accès est le fichier acces_bdd.py. Ses premières lignes, déjà écrites, chargent vos identifiants avec load_dotenv. Deux fonctions sont à écrire.

• Dans acces_bdd.py, remplacez tout le corps de ouvrir(), pass compris, par :

    try:
        return mysql.connector.connect(
            host=os.environ["TV_BDD_HOTE"],
            user=os.environ["TV_BDD_UTILISATEUR"],
            password=os.environ["TV_BDD_MOT_DE_PASSE"],
            database=os.environ["TV_BDD_BASE"],
            connection_timeout=3)
    except mysql.connector.Error as erreur:
        raise BaseIndisponible(str(erreur)) from erreur

• Remplacez tout le corps de lire_chantiers(), return [] compris, par :

    connexion = ouvrir()
    curseur = connexion.cursor(dictionary=True)
    curseur.execute(COLONNES_CHANTIER + "ORDER BY ch.date_debut")
    lignes = curseur.fetchall()
    connexion.close()
    return lignes

• Lisez la ligne COLONNES_CHANTIER, écrite en haut du fichier. Notez la table reliée à chantier par le JOIN :

Le + colle ici deux textes fixes, écrits par vous. Ce n'est pas une saisie d'utilisateur : il n'y a donc aucun risque d'injection.

Vous devez avoir : un fichier enregistré avec Ctrl+S, et le nom d'une table relié par le JOIN. On teste le tout à l'étape 5.

Le fichier d'environnement se range dans votre dossier personnel, jamais dans le dossier du code. L'application le lit seule au démarrage.

• Copiez le modèle de l'annexe A4 dans votre dossier personnel :

Copy-Item technovert.env.exemple $HOME\technovert.env

• Ouvrez-le avec notepad $HOME\technovert.env. Mettez le mot de passe du compte tv_appli de l'annexe A3, et une longue valeur au hasard pour TV_CLE_SECRETE. Enregistrez.
• Vérifiez son contenu :

Get-Content $HOME\technovert.env

Vous devez voir : quatre lignes de commentaire, puis vos cinq lignes TV_…, sans aucun a-remplacer. Les accents des commentaires peuvent mal s'afficher : ce n'est pas grave.

L'application importe encore l'ancienne couche, celle du fichier. On la fait pointer sur la base.

• Ouvrez app.py. Repérez la ligne import donnees.
• Remplacez-la par :

import acces_bdd as donnees

• Remplacez la ligne de la clé secrète par :

app.secret_key = os.environ["TV_CLE_SECRETE"]

• Dans app.py, juste au-dessus de from flask import …, ajoutez la ligne import os. Enregistrez, puis lancez le serveur :

python -m flask --app app run --debug

• Connectez-vous sur /connexion avec le compte ngarcia, mot de passe Chantier2026. Les autres logins sont dans l'annexe A2, table compte. Le mot de passe de test est le même pour tous. Puis ouvrez http://127.0.0.1:5000/chantiers.

Vous devez voir : les six chantiers, comme avant. Cette fois, ils viennent de MySQL.

• Ouvrez un second terminal avec le bouton « + » du panneau Terminal. Le premier fait tourner le serveur.
• Changez un nom de chantier directement dans la base :

mysql -u root -e "UPDATE technovert.chantier SET nom='Essai base' WHERE id=1;"

• Rechargez /chantiers dans le navigateur.

Vous devez voir : le premier chantier s'appelle maintenant « Essai base ». L'application lit bien la base en direct.

PARTIE B — Isoler et sortir les secrets

Étapes 7 à 11, environ 25 min. À la fin, tout le SQL est dans la couche d'accès, et aucun mot de passe n'est dans le code.

Besoin d'un rappel ? Revoir le cours : « Une couche d'accès aux données ».

• Cherchez le mot SELECT dans le fichier des vues :

Select-String -Pattern "SELECT", "INSERT", "mysql" -Path app.py

Vous devez voir : aucune ligne. Tout le SQL est dans acces_bdd.py.

• Laissez le serveur tourner. Dans le panneau de XAMPP, cliquez sur « Stop », en face de « MySQL ».
• Rechargez /chantiers dans le navigateur.

Vous devez voir : la page « Service momentanément indisponible », pas une trace d'erreur.

• Regardez le terminal du serveur.

Vous devez voir : une ligne qui contient ERROR in app: Base indisponible, suivie de la cause. La ligne juste en dessous se termine par 503 -.

• Dans le panneau de XAMPP, cliquez sur « Start » en face de « MySQL ». Rechargez la page.

Vous devez voir : la liste des chantiers revient.

• Ouvrez l'annexe A5.
• Trouvez comment passer une valeur à une requête sans la coller dans le texte. Notez le symbole employé dans la requête :
• Notez sous quelle forme les valeurs sont passées à execute() :

Vous devez avoir : un symbole, et le mot « tuple ». Ils servent en partie C.

• Cherchez un mot de passe en clair dans les fichiers du code :

Select-String -Pattern "Labo-Appli", "password=" -Path app.py, acces_bdd.py

Vous devez voir : la seule ligne trouvée est password=os.environ[...]. Aucun mot de passe en clair.

PARTIE C — Injecter puis corriger

Étapes 12 à 17, environ 35 min. À la fin, une injection est prouvée, puis rendue inoffensive.

Besoin d'un rappel ? Revoir le cours : « L'injection SQL et la requête paramétrée ».

Changez de rôle : le lecteur devient pilote.

Cadre légal. Vous testez une injection sur votre propre machine, dans un but d'apprentissage. Le faire sur un site qui n'est pas le vôtre, sans autorisation écrite, est un délit.

Un collègue a repris la page « Mes interventions » de l'ancien prestataire. Sa fonction est interventions_du_technicien, en bas de acces_bdd.py.

• Ouvrez acces_bdd.py et lisez cette fonction.
• Notez comment le login et le service entrent dans la requête :

Vous devez avoir : les valeurs collées dans le texte avec des + et des apostrophes.

• Si le serveur est arrêté, relancez-le dans le premier terminal :

python -m flask --app app run --debug

• Connectez-vous avec le compte ngarcia, mot de passe Chantier2026.
• Ouvrez /mes-interventions?service=atelier.

Vous devez voir : la phrase 4 intervention(s) pour le service « atelier »., et un tableau de 4 lignes, toutes de ngarcia.

• Dans la barre d'adresse, remplacez le service par une injection. Tapez cette adresse, puis validez :

http://127.0.0.1:5000/mes-interventions?service=x' OR '1'='1

Vous devez voir : un nombre d'interventions bien plus grand que 4, et des interventions d'autres techniciens. Vous voyez des données qui ne sont pas les vôtres.

• Notez le nombre d'interventions affiché :
• Faites tout de suite une capture d'écran de cette page. C'est votre preuve « avant correction » : après l'étape 15, vous ne pourrez plus la refaire.

• Dans interventions_du_technicien, remplacez les lignes de requete = ( jusqu'à curseur.execute(requete) par :

    requete = ("SELECT i.date_intervention, c.nom AS chantier, i.technicien, i.service, "
               "i.duree_heures FROM intervention i JOIN chantier c ON c.id = i.id_chantier "
               "WHERE i.technicien = %s AND i.service = %s "
               "ORDER BY i.date_intervention")
    curseur.execute(requete, (login, service))

• Enregistrez le fichier.

Vous devez voir : le fichier s'enregistre sans erreur. On teste l'effet à l'étape 16.

• Rechargez la page normale /mes-interventions?service=atelier.

Vous devez voir : les 4 interventions de ngarcia, comme avant. La correction n'a rien cassé.

• Rechargez l'adresse d'injection de l'étape 14.

Vous devez voir : « 0 intervention(s) ». La base a cherché un service qui s'appelle vraiment x' OR '1'='1. Il n'existe pas.

Vous avez déjà la capture « avant correction », faite à l'étape 14.

• Faites maintenant une capture de la même adresse d'injection après correction : « 0 intervention(s) ».

Vous devez avoir : deux captures, l'une de l'étape 14, l'autre d'ici. Vous les montrez au point de contrôle C.

PARTIE D — Exporter et restaurer

Étapes 18 à 22, environ 25 min. À la fin, la base est restaurée sur une pile vierge, et vérifiée.

Besoin d'un rappel ? Revoir le cours : « Un jeu de données qu'on peut rejouer ».

Le jeu de test de l'annexe A2 recrée une base neuve, toujours la même. Un export, lui, sauvegarde la vraie base, avec les saisies des utilisateurs. C'est cet export qu'on restaure quand une machine tombe en panne. On le prouve ici sur une base neuve.

• Exportez toute la base dans un fichier, dans le dossier de l'application :

mysqldump -u root technovert --result-file=export_technovert.sql

• Cherchez dans le fichier les lignes qui créent les tables et qui ajoutent les données :

Select-String -Pattern "CREATE TABLE", "INSERT INTO" -Path export_technovert.sql

Vous devez voir : des lignes CREATE TABLE pour les quatre tables, et des lignes INSERT INTO. L'export contient la structure et les données.

Une pile vierge, c'est une base qui n'existe pas encore. On efface la base pour le simuler.

• Supprimez la base :

mysql -u root -e "DROP DATABASE technovert;"

• Rechargez /chantiers dans le navigateur.

Vous devez voir : la page « Service momentanément indisponible ». La base n'existe plus.

• Recréez la base vide, puis rechargez l'export dedans :

mysql -u root -e "CREATE DATABASE technovert;"
mysql -u root technovert -e "source export_technovert.sql"

• Rechargez /chantiers.

Vous devez voir : les six chantiers reviennent.

Une page qui s'affiche ne prouve pas que tout est là. Le script de l'annexe A6 compte les lignes et teste les cas connus.

• Dans le second terminal, lancez le script de vérification. Il lit lui aussi technovert.env :

python A6_verifier_base.py

Vous devez voir : chaque ligne commence par OK, et la dernière ligne dit « 13 vérification(s) sur 13 réussie(s). ».

• Ouvrez l'annexe A6. Trouvez la dernière vérification du script, celle qui teste une injection.
• Notez ce qu'elle envoie comme service, et le résultat attendu :

Vous devez avoir : un service piégé, avec des apostrophes, et zéro ligne attendue.

POUR ALLER PLUS LOIN

10 à 15 min, si vous avez fini avant la fin de la séance.

Une IA a proposé cette fonction pour chercher un client par sa ville. Elle marche, mais elle contient trois défauts.

def clients_par_ville(ville):
    connexion = mysql.connector.connect(host="127.0.0.1", user="root",
                                        password="root", database="technovert")
    curseur = connexion.cursor(dictionary=True)
    curseur.execute(f"SELECT * FROM client WHERE ville = '{ville}'")
    return curseur.fetchall()

• Trouvez les trois défauts avant la mise en production. Pour chacun, notez la ligne et le danger.

CE QU'IL FAUT RETENIR

1. Une valeur saisie ne se colle jamais dans une requête : on écrit %s et on passe la valeur à part.
2. Tout le SQL vit dans la couche d'accès. Une base arrêtée donne une page 503 propre, jamais une trace.
3. Une restauration ne se croit pas : elle se prouve avec un script de vérification.