miércoles, 25 de diciembre de 2013

SQL Injection con Havij

El ataque SQL Injection suele estar automatizado por aplicaciones aunque esto genera mucho ruido al probar cantidades ingentes de combinaciones o inyecciones lo que puede hacer  saltar alarmas y que en los logs quedaran reflejado siendo raro ese comportamiento raro por una persona.


El ejemplo que traigo hoy es Havij, una aplicacion bastante usada pero que un mal uso puede ser peligroso por lo mencionado anteriormente, pero podemos ver el potencial de la herramienta. Su version Free esta muy capada pero para probarla nos ira bien. Descarga

En el target ponemos la pagina que sabemos que es vulnerable, como vimos en el SQL Injection basico y pulsamos "Analyze" y empezara a buscar.

Busca la longitud de la DB y luego va probando carácter por carácter si es acertado y pasa al siguiente. Una vez tenemos la DB pasaremos a buscar las tablas.  

Pulsamos la DB que queremos y pulsamos "Get Tables" esto ira realizando ataques por blind sql injection y van saliendo








Ahora sacaremos los campos para esa tabla, seleccionamos la tabla y pulsamos "Get columns".

 Y calcula una longitud de cambio y va comprobando que el caracter para ese campo es correcto, por eso es bueno tener esto automatizado.







Por ultimo sacaremos los datos, asi que seleccionamos los campos que nos interesan y pulsamos "Get Data".

Es importante seleccionar solo los campos necesarios para no hacer infinito la extracción.

* Este manual no tiene intención malintencionada , si no con intención de aprender y jugar con la tecnología y ver los peligros de una base de datos mal programada y administrada.


Saludos guerreros.

No hay comentarios:

Publicar un comentario