INJECTION

Ejercicio práctico: desde la inyección de SQL hasta el terminal, versión PostgreSQL



¿Os acordáis de la entrada Ejercicio práctico: desde la inyección de SQL hasta el terminal? Pues el equipo de Pentesterlab, los creadores del origen de la misma, han vuelto a hacer los mismo pero con un pequeño cambio: la base de datos en el servidor a atacar es PostgreSQL.

Aunque la idea de una inyección de sql es la misma, dependiendo de la base de datos con la que tengamos que lidiar, sí que hacen que los detalles del ataque sean distintos.

Ejercicio práctico: desde la inyección de SQL hasta el terminal



Nada como un ejercicio práctico para aprender por uno mismo. En cuestiones de explotación de aplicaciones web nada como jugar a algún wargame, montarte tu propio sistema vulnerable y buen libro, asistir a alguna clase con algún laboratorio de prácticas, etc o buscarte algún tutorial por la web.

Este último, es el caso de este ejercicio práctico titulado: From SQL Injection to shell, cuya traducción sería más o menos: Desde la inyección de SQL hasta el terminal.

Afina tu SQLi-Fu



Nada mejor y más seguro de probar y aprender nuestras tácticas y habilidades de intrusión en sistemas diseñados para ello y así no meternos en problemas.

En este enlace podemos encontrar 3 retos de inyección de SQL. Dichos retos tienen dos variantes: A y B, siendo esta última algo más complicada que la primera.

Pues nada, si no tienes nada que hacer, ya te puedes distraer un rato :)

Fuente

CTF #nullcon 2012: Web 5



En la quinta y última prueba de esta categoría nos encontramos con:

Do You Have What IT Takes to Break into the World’s Most Secure Login System?

El sistema más seguro del Login del mundo. Cuando vamos a la página de Login nos encontramos con:



Y aunque en esta prueba no nos dan ninguna pista en el código de la página, si que nos la dan en el nombre de la “empresa” que creó esta pantalla de Login: MERASEQUEL. Automáticamente asumí de que se trataba de una inyección de SQL.

CTF #nullcon 2012: Web 4



En esta prueba hice el primo por un buen rato. La pregunta que nos hacían:

Can You Get Me all the Data?

Y nos daban un par de enlaces 2007 ( http://www.nullcon.net//challenge/wlevel-4-data.asp?input=2007 ) y 2002 ( http://www.nullcon.net//challenge/wlevel-4-data.asp?input=2002) .

Si pulsamos sobre el 2007 nos aparece:

DR. A.P.J. Abdul Kalam 25 July 2002 TO 25 July 2007

Volvemos atrás y pulsamos sobre 2002

Shri K. R. Narayanan 25 July 1997 TO 25 July 2002

CTF #nullcon 2012: Web 3



En este nivel, además de una página para introducir el flag, se nos presentan otras dos páginas más: un para hacer login y la otra para registrarte.

En la página de login, se nos pide lo típico un nombre de usuario y una contraseña. Como no tenemos ninguna cuenta, vayamos a crearnos una.



Una vez introducimos la información y nos registramos, como de costumbre (esto lo hacía cada vez que ejecutaba alguna acción) miramos el código de la página web y nos encontramos con esto:

CTF #nullcon 2012: Web 1



Bueno empecemos con las pruebas Web. La primera prueba con la que nos encontramos nos pregunta:

Can you view the bytes in password.asp from Me?

Donde, Me es un enalace a http://www.nullcon.net//challenge/wlevel-1-proc.asp?input=test.txt .

Después de jugar un rato con el parámetro input, por el irc dieron una pista a la que hacía referencia al nombre que organizaba el evento: nullcon. Así que el resto de mis pruebas las basé en la inyección del carácter nulo (%00) en el url. Y después de poner dicho carácter en varios lugares, dí con esta url que nos pasaba de nivel:

hackxor hacker game



hackxor es una aplicación web programada de forma intencionada con una serie de fallos de seguridad con la que puedes jugar. Contiene fallos del tipo: XSS, CSRF, SQLi, ReDoS, DOR, inyección de comandos, etc.

Puedes jugar de forma online a los 2 primeros niveles, pero como dicha aplicación se aloja en SourceForge piden que uses el sentido común y no uses herramientas de fuerza bruta o escaners automáticos, así como sólo jugar con http://hackxor.sourceforge.net/* y no con otros subdominios.

Inyección de SQL con raw MD5 hashes



Acabo de leer en este post, sobre esta nueva técnica, al menos nueva para mi, sobre la inyección de código SQL usando raw MD5 hashes.

Normalmente la autentificación (más común y sencilla) de un usuario en una aplicación web, suele lanzar una query de este tipo:

SELECT usuario FROM usuarios WHERE password = (hash del password)

Es decir, una vez hayamos introducido los credenciales, lo que realmente comparamos con “password” es su hash, porque tu no guardas los passwords en texto plano, ¡a qué no! (Nota, hoy en día el uso de MD5 no se aconseja).

Inyección de código SQL en los sistemas de tráfico



Cuando vi la foto por primera vez, me lo tomé con humor, pero después de meditar un poco esto podría ser perfectamente válido.

La regla de oro para evitar la inyección de SQL es limpiar los datos datos de entrada. Claro cuando un piensa en la entrada de datos, piensa en un usuario detrás de un teclado, aunque los datos no provengan directamente de un formulario, un usuario puede esnifar tráfico, modificarlo y reenviarlo, etc. Al final es un usuario detrás de un teclado.