Temas

Hola a todos, estuve aprendiendo sobre SQL INJECTIONS, y estuve practicando mucho sobre páginas hechas por mi en un servidor en otra pc mía, mi duda es la siguiente:
una vez que obtuve el usuario y el pass de administrador, cuales son mis pasos a seguir? por ejemplo si quisiera hacer un deface cambiando el index.html, como debería hacer para cambiarlo teniendo en mi poder el pass y usuario del administrador?
muchas gracias y espero sus respuestas

Hola a todos, estoy empezando con las SQL INJECTIONS, y me topé con una página hecha en ASP y con SqlServer que creo que puede tener una vulnerabilidad, cuando pongo la ' me sale esto:

Código [Seleccionar] Expandir


Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Sintaxis incorrecta cerca de '</password><tipologueo>03</tipologueo><ip>'.

/kermet.asp, line 191


si pongo 'or 1=1 -- me sale :

Código [Seleccionar] Expandir


Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Sintaxis incorrecta cerca de la palabra clave 'or'.

/kermet.asp, line 191


y ahí es donde está mi problema, ponga lo que ponga después del ' me da error de sintaxis; si pongo cualquier palabra me dice "Sintaxis incorrecta cerca de dsfsdf", mientras que si pongo un OR, AND, UNION o cualquier palabra clave, me sale "Sintaxis incorrecta cerca de la palabra clave 'or'", o sea que detecta cuando es una palabra clave, y cuando no.
No se si tendrá algo de seguridad la bd, pero he probado agregando --, o /* y // y no hay caso, siempre me tira el error en la primer palabra que encuentra después de la '.  Lo que me parece es que se arma un XML y eso es lo que se pasa a algún otro lado (?). Y parece que no funciona esto <password>'or 1=1</password>
Alguien sabrá como puedo continuar para obtener más información? o me conviene buscar una página que sea un poco más fácil para comenzar?
Muchas Gracias!