elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Guía rápida para descarga de herramientas gratuitas de seguridad y desinfección


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Hacking
| | |-+  Bugs y Exploits
| | | |-+  Nivel Web (Moderadores: sirdarckcat, WHK)
| | | | |-+  por que paso esto ? (sqli)
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: por que paso esto ? (sqli)  (Leído 1,725 veces)
Zeta1337

Desconectado Desconectado

Mensajes: 43


Ver Perfil
por que paso esto ? (sqli)
« en: 6 Mayo 2015, 00:53 am »

hola gente, bueno, miren les cuento, hace tiempo descubri una web con una vulnerabilidad de sqli (mostraba el error), la misma pagina luego de un tiempo volvi a probar si seguia siendo vulnerable, lo que paso fue que se quedo el titulo pero la pagina se quedaba "vacia", pero por curioso decidi ver el codigo fuente de la pagina y me encontre con esto.



lo raro es que estaba al fondo del codigo fuente y sin ninguna etiqueta O.o , esto es el famoso sql blind ? o inyeccion a "ciegas" ? , disculpen si es un tema ignorante, insultos abstenerse
En línea

Shell Root
Moderador Global
***
Desconectado Desconectado

Mensajes: 3.720


$M


Ver Perfil WWW
Re: por que paso esto ? (sqli)
« Respuesta #1 en: 6 Mayo 2015, 15:28 pm »

Pues eso pasa dependiendo del programador, si no muestra nada posiblemente hay un muestreo del error que es el que aparece en la imagen que adjuntaste, pero con un die() o exit() después para terminar la ejecución del script y mostrar la pagina vacia (en blanco).

Ahora eso no es inyección a ciegas o blind, pareciera ya que toca trabajar directamente con el codigo fuente (por debajo de la capa visible), pero tecnicamente no es más que una iSQL normal.

La blind es a ciegas, es cuando se juega con valores booleanos, por así decirlo. -Esta se caracteriza por tener muchas peticiones al servidor, a diferencia de la normal- Como por ejemplo,
Código:
SI( TablaDeDB existe 'admin' ) HACER
   Mostrar la pagina normalmente ya que la query se ejecuto correctamente = TRUE
DE LO CONTRARIO
  No mostrar nada, en blanco, o con error = FALSE
FIN SI

He visto casos en mis testeos en los que me toca trabajar con el fuente, pero dentro de una etiqueta. Es decir, las columnas y registros los printeaba dentro de un href, simplemente analise el codigo vi un patron que se repite para identificar la etiqueta donde se mostraban los datos y realice un script para extraer el dato automaticamente.
« Última modificación: 6 Mayo 2015, 15:31 pm por Shell Root » En línea

Por eso no duermo, por si tras mi ventana hay un cuervo. Cuelgo de hilos sueltos sabiendo que hay veneno en el aire.
.:UND3R:.
Moderador Global
***
Desconectado Desconectado

Mensajes: 3.118


Ingeniería inversa / MASM


Ver Perfil WWW
Re: por que paso esto ? (sqli)
« Respuesta #2 en: 4 Junio 2015, 13:18 pm »

Tenía que ser el root del ocho con sus iSQL jaja, excelente respuesta.
En línea


Solicitudes de crack, keygen, serial solo a través de mensajes privados (PM)
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Por no consultar me paso esto?
Software
alcaral 2 1,035 Último mensaje 8 Junio 2003, 05:14 am
por Cobac
Como paso esto a word..??
Programación Visual Basic
ThonyMaster 1 2,153 Último mensaje 24 Octubre 2009, 00:44 am
por ThonyMaster
Problema de dificil solucion, alguien le paso esto? « 1 2 »
Windows
lezh 13 4,323 Último mensaje 3 Agosto 2010, 16:14 pm
por nayk
Atascado en el último paso de SQLi
Nivel Web
ke0p 3 1,616 Último mensaje 22 Noviembre 2011, 01:08 am
por ke0p
¿Es esto un SQLi?
Bugs y Exploits
electrodev 2 1,763 Último mensaje 1 Abril 2013, 18:46 pm
por electrodev
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines