problema inyeccion SQL

[BigByte]

Hola chicos.

en esta ocasion tengo una duda sobre inyeccion sql con kali linux y sqlmap

He apostado con uno que lleva la web de la Federacion Espaola de Baloncesto (conocido mio) que no conseguia el pass del admin. la cosa es que he conseguido hacer una preinyeccion sql jejej.

consigo que sqlmap empiece a escanear y todo bien. pero luego me dice que la base de datos no es sql, cuando al poner la comilla en la url dice error de sintaxis, y sqlmap me dice que la ID es inyectable... algo estoy haciendo mal, a ver si me decis el que. pongo el desarrollo en pastebin y os doy el enlace.

la web objetivo es http://www.fabasket.com/noticia.php?id=1007

(y todas las noticias son inyectables, pero no lo consigo en ninguna)

aqui va lo que me arroja sqlmap

http://pastebin.com/Xnb2XNQi

espero podias ayudare pues no quiero perder la apuesta!! (un par de birras tampoco es importante por si alguien pregutna)

gracias   

[ivancea96]

La web filtra la id.

[BigByte]

Y es posible saltarse eso.?? Me refiero hay alguna forma de bypassear esa protección para llevar a cabo la inyeccion sql o la web ya no es vulnerable ??


Agradecería un tutorial o una referencia , soy todo oídos !!

Gracias

[noopynoob]

Y es posible saltarse eso.?? Me refiero hay alguna forma de bypassear esa protección para llevar a cabo la inyeccion sql o la web ya no es vulnerable ??


Agradecería un tutorial o una referencia , soy todo oídos !!

Gracias

sqlmap -u www.fabasket.com/noticia.php?id=1007 --dbms=oracle --risk=5 --level=5 --dbs

[BigByte]

Gracias amigo . lo probaré y su funciona en habré ganado unas birras!!

[dRak0]

Buenas...

El bypass del WAF (Web Application Firewall):

http://www.fabasket.com/noticia.php?id=1007+order+by+1--&id=1007%09order%09by%091000--

http://www.fabasket.com/noticia.php?id=1007+order+by+1--&id=1007%09order%09by%0910--

El tema era que filtraba el espacio , busque otra alternativa y andubo.

No recomiendo utilizar herramientas , durante el aprendizaje.

Suerte!