elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Guía actualizada para evitar que un ransomware ataque tu empresa


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Hacking
| | |-+  Bugs y Exploits
| | | |-+  Nivel Web (Moderadores: sirdarckcat, WHK)
| | | | |-+  SQL INJECTION en ASP y SQLSERVER
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: SQL INJECTION en ASP y SQLSERVER  (Leído 9,276 veces)
rower85

Desconectado Desconectado

Mensajes: 6


Ver Perfil
SQL INJECTION en ASP y SQLSERVER
« en: 11 Septiembre 2009, 00:01 am »

Hola a todos, estoy empezando con las SQL INJECTIONS, y me topé con una página hecha en ASP y con SqlServer que creo que puede tener una vulnerabilidad, cuando pongo la ' me sale esto:
Código:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Sintaxis incorrecta cerca de '</password><tipologueo>03</tipologueo><ip>'.

/kermet.asp, line 191

si pongo 'or 1=1 -- me sale :
Código:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Sintaxis incorrecta cerca de la palabra clave 'or'.

/kermet.asp, line 191

y ahí es donde está mi problema, ponga lo que ponga después del ' me da error de sintaxis; si pongo cualquier palabra me dice "Sintaxis incorrecta cerca de dsfsdf", mientras que si pongo un OR, AND, UNION o cualquier palabra clave, me sale "Sintaxis incorrecta cerca de la palabra clave 'or'", o sea que detecta cuando es una palabra clave, y cuando no.
No se si tendrá algo de seguridad la bd, pero he probado agregando --, o /* y // y no hay caso, siempre me tira el error en la primer palabra que encuentra después de la '.  Lo que me parece es que se arma un XML y eso es lo que se pasa a algún otro lado (?). Y parece que no funciona esto <password>'or 1=1</password>
Alguien sabrá como puedo continuar para obtener más información? o me conviene buscar una página que sea un poco más fácil para comenzar?
Muchas Gracias!
En línea

kamsky
Colaborador
***
Desconectado Desconectado

Mensajes: 2.218


Como no sabían que era imposible, lo hicieron...


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #1 en: 11 Septiembre 2009, 00:11 am »

prueba a omitir la comilla, simplemente haz algo como:
or '1'='1'
or '1'='1' --
a ver si así no te da error de sintaxis
En línea

----NO HAY ARMA MÁS MORTÍFERA QUE UNA PALABRA BROTADA DE UN CORAZÓN NOBLE, Y UN PAR DE HUEVOS QUE LA RESPALDEN---

                       hack 4 free!!
rower85

Desconectado Desconectado

Mensajes: 6


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #2 en: 11 Septiembre 2009, 00:20 am »

gracias por la respuesta, probé con or '1'='1' y con or '1'='1' -- y me sale
Código:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Sintaxis incorrecta cerca de '1'.

o sea que encuentra siempre error de sintaxis después de '. Y si no pongo ', obviamente me dice password incorrecto
En línea

Darioxhcx


Desconectado Desconectado

Mensajes: 2.294


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #3 en: 11 Septiembre 2009, 02:06 am »

http://www.milw0rm.com/papers/279


servira ?
saludos
En línea

rower85

Desconectado Desconectado

Mensajes: 6


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #4 en: 11 Septiembre 2009, 02:46 am »

mmm lo leo y te contesto si? xD gracias
En línea

Ari Slash


Desconectado Desconectado

Mensajes: 1.783



Ver Perfil WWW
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #5 en: 11 Septiembre 2009, 04:41 am »


wau muy bueno....pero en ingles  :P

salu2
En línea

tomrian

Desconectado Desconectado

Mensajes: 19


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #6 en: 11 Septiembre 2009, 23:22 pm »

Es bastante interesante el caso con el que te tropezaste (?. Por que la query que realiza la aplicación la hace con XML (de ahi los tags que ves ahi). Investiga un poco del tema y vas a poder inyectarlo sin problema.
En línea

vhalde

Desconectado Desconectado

Mensajes: 1


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #7 en: 13 Septiembre 2009, 02:04 am »

Yo tengo un caso muy parecido.

En un login, cuando en user pongo 'or 1=1 -- me sale:

Citar
Microsoft OLE DB Provider for SQL Server error '80040e14'

Sintaxis incorrecta cerca de la palabra clave 'or'.

/Include/conexión.asp, line 66

Cuando pongo una comilla en cada, me sale:

Citar
Microsoft OLE DB Provider for SQL Server error '80040e10'

El procedimiento 'SP_GetUser' precisa el parámetro '@user_pwd', que no se ha especificado.

/Include/conexión.asp, line 66

Bien, @user_pwd debe ser una concanetacion, mientras que SP_GetUser la subrutina.

Pero lo del OR es un poco raro, también me pasa como a ti cuando "Sintaxis incorrecta cerca de '1'"
En línea

tomrian

Desconectado Desconectado

Mensajes: 19


Ver Perfil
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #8 en: 13 Septiembre 2009, 03:51 am »

vhalde, en tu caso tenes una llamada a un store procedure. Rellena bien los parámetros que te solicita e intenta hacer un stack de sentencias para realizar la inyección.
En línea

OzX


Desconectado Desconectado

Mensajes: 406

[NuKe] Team


Ver Perfil WWW
Re: SQL INJECTION en ASP y SQLSERVER
« Respuesta #9 en: 16 Septiembre 2009, 01:17 am »

prova..
site.asp?var=convert(int,@@version)--

En línea

Undersecurity.net
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
error sqlserver 2008
Bases de Datos
kakashi20 3 3,649 Último mensaje 24 Febrero 2012, 20:54 pm
por Shell Root
conectar sqlserver 2008 con php
PHP
kakashi20 1 2,548 Último mensaje 8 Abril 2012, 21:23 pm
por kakashi20
conectar sqlserver 2008 con php
Bases de Datos
kakashi20 1 3,440 Último mensaje 8 Abril 2012, 21:23 pm
por kakashi20
error php con sqlserver
PHP
kakashi20 2 2,681 Último mensaje 29 Abril 2012, 03:22 am
por engel lex
Ayuda a crear procedemiento almacenado en sqlserver 2012
Programación General
washington8277 0 1,794 Último mensaje 27 Octubre 2013, 02:01 am
por washington8277
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines