Foro de elhacker.net

Seguridad Informática => Nivel Web => Mensaje iniciado por: Serese en 13 Octubre 2010, 22:41 pm



Título: SQL Injection en Stored Procedures (MsSQL)
Publicado por: Serese en 13 Octubre 2010, 22:41 pm
Buenas,

Tengo una web que es vulnerable a este tipo de ataques a traves de un formulario de login, los datos se comprueban usando un Stored Procedure, pero no los limpian antes de mandarlo, algo asi:

Código:
EXEC sp_login ' . $user . ' ' . $pass .'

Ahora, yo tengo un usuario valido, pero no tengo forma de conseguir la contraseña. Intente ejecutar consultas despues de cerrar la llamada al sp, mandando como password algo asi:

Código:
'; SELECT * FROM usuarios; --

Pero me devuelve siempre el siguiente error:

Código:
General SQL Server error: Check messages from the SQL Server (severity 14)

Tanto con INSERT como con UPDATE da el mismo error.

Alguna sugerencia?

Se puede llegar a injectar SQL dentro el codigo del SP??

Saludos.