La Comunidad DragonJAR » sql-injection

Presentación de conceptos básicos en Seguridad Web

DragoN — Fri, 18 Feb 2011 05:14:43 +0000

Marcos García, miembro de nuestra comunidad ha querido compartir con nosotros la siguiente presentación, que referencia a los ataques más comunes sobre las aplicaciones Web. La idea principal es concientizar a los desarrolladores/administradores, para que tengan en cuenta a qué amenazas y riesgos de seguridad están expuestas sus aplicaciones.

Es importante señalar que existen más ataques, los cuales no figuran en la presentación.

Descargar documentación

También podremos ver ejemplos prácticos de todas las técnicas mencionadas en los siguientes vídeos.

XSS

CSRF

Path Traversal

Null Byte

OS Commanding

Local File Inclusion

Remote File Inclusion

Information Disclosure

SQL Injection/Blind SQL Injection

File Upload

Agradecimientos especiales a Marcos García por compartir esta información con nosotros.

También puede interesarte...

Memorias del Asegúr@IT 7

DragoN — Sun, 28 Mar 2010 07:49:15 +0000

El pasado miércoles 23 de marzo, se celebró en Barcelona España el evento gratuito Asegúr@IT VII, en esta ocasión, ademas de contar con algunos de los destacados ponentes sobre temas de seguridad informática, invitaron a Nicodemo Animation, creadores de Cálico Electrónico, quien habló sobre sus proyectos y la escena de la animación en España.

Como siempre, y sabiendo lo importante que es para las personas que no podemos asistir a este tipo de eventos Chema Alonso ha publicado su blog (Un Informático en el Lado del Mal) las memorias y de todas las charlas de este evento, espero que sean de su agrado.

Playing in a Satellite Environmet 1.2
- Leonardo Nve, de S21Sec
- Christian Martorella, de S21Sec

Forefront Unified Access Gateway UAG 2010
- Chema Alonso y Alejandro Martín Bailón, de Informática64

Todo lo que se contó aquí está o estará escrito en forma de posts en Seguros con Forefront.

Del Doctor Birufilla a Armorria
- Raúl y Niko, de Nikodemo Animation.

La gente de Nikodemo Animation no llevaron diapositivas al evento, por lo que me limito a dejarles el comentario escrito por crema sobre su charla :

Los creadores de Cálico Electrónico decidieron no traer diapositivas, así que nos alegraron la charla contándonos sus inicios, con el el proyecto de El País de las Tentaciones donde crearon la serie “Sabias Lo Qué?” y su Doctor Birufilla. Todos los capítulos de esta serie están ahora en www.sabiasloque.com. También nos habalaron del proyecto común que han lanzado los creadores de contenidos independientes en Internet. Cálico Electrónico, Malviviendo y un gran grupo, han hecho NikodemoTV para aunar esfuerzos en la difusión de sus contenidos. Además, tienen abierto un festival de series Web con un premio de 14.000 €. De todas formas, puedes seguir a estos dos piezas en sus cuentas twitter: @escolano y Nikotxan.

Serialized SQL Injection
- Dani “The Doctor” Kachakil.

Puedes descargar la herramienta SFX-SQLI creada por Dani “Kachakil” para lanzar ataques de Serialized SQL Injection con su respectivo código fuente en su web personal.

La Foca 2.0 y MetaShield Protector
- Chema Alonso y Alejandro Martín Bailón, de Informática64

Para que podamos poner nuestras manos en la FOCA 2.0, tendremos que esperar hasta el próximo día 20 de Abril, fecha en la que se hará publica su versión alpha. Mientras que el MetaShield Protector puede ser descargado en una versión de prueba.

También puede interesarte...

SQLMap – Herramienta Automática de Inyección SQL

DragoN — Mon, 10 Nov 2008 04:32:18 +0000

sqlmap es una herramienta desarrollada en python para realizar inyección de código sql automáticamente. Su objetivo es detectar y aprovechar las vulnerabilidades de inyección SQL en aplicaciones web. Una vez que se detecta una o más inyecciones SQL en el host de destino, el usuario puede elegir entre una variedad de opciones entre ellas, enumerar los usuarios, los hashes de contraseñas, los privilegios, las bases de datos , O todo el volcado de tablas / columnas específicas del DBMS , ejecutar su propio SQL SELECT, leer archivos específicos en el sistema de archivos y mucho más.

Características

Soporte completo para MySQL, Oracle, PostgreSQL y Microsoft SQL. Además de estos cuatro sistemas de gestión de bases de datos, sqlMap también puede identificar Microsoft Access, DB2, Informix, Sybase y Interbase.
Amplia base de datos de sistema de gestión de huellas dactilares basadas en inband error messages, analizar el banner, las funciones de salida de comparación y características específicas tales como MySQL comment injection. También es posible forzar a la base de datos de sistema de gestión de nombre si ya lo saben.
Soporte completo para 2 técnicas de SQL injection: blind SQL injection y inband SQL injection.

Aqui podemos ver la herramienta en ejecución enumerando la versión utilizada del MySQL:

# ./sqlmap.py -u "http://XXXXXXXXXXX/detail.php?code=XXXXX" -b sqlmap/0.6.1 coded by Bernardo Damele A. G. and Daniele Bellucci

[*] starting at: 21:58:00

[21:58:01] [WARNING] User-Agent parameter ‘User-Agent’ is not dynamic
back-end DBMS: MySQL >= 5.0.0
banner: ’5.0.51b-community’
[*] shutting down at: 21:58:07

Descarga el sqlmap-0.6.1.tar.gz para entornos GNU/Linux o sqlmap-0.6.1_exe.zip para Microsoft Windows.

Mas Informacion:
Pagina Oficial del SQLMap
Manual del SQLMap
Cambios de Version

También puede interesarte...

BSQL Hacker – Completo Framework para SQL Injection

DragoN — Sun, 24 Aug 2008 04:47:06 +0000

BSQL Hacker es un completo Framework para realizar un testeo de SQL Injection en nuestro aplicativos web, permite automatizar los procesos de búsqueda de inyecciones SQL (SQL Injection) e inyecciones ciegas de SQL (Blind SQL Injection) esta licenciada bajo GPL v2 y puesta a disposición de todos en este proyecto de Google Code.

Ya he realizado pruebas con la herramienta y es bastante completa, no solo realiza la inyección de código sino que explora totalmente la base de datos arrojando las tablas, campos y los datos de esos campos.

Les dejo el video demostrativo de la herramienta realizado por sus propios creadores

El Manual de uso (En Inglés) y la pagina oficial del proyecto.

También puede interesarte...

Video: Blind SQL Injection Técnicas Avanzadas

DragoN — Mon, 04 Aug 2008 22:59:52 +0000

A continuación les dejo el vídeo de una conferencia sobre Técnicas Avanzadas de Blind SQL Injection dictada por Daniel Kachakil de Electronic Dreams y Pedro Laguna de Informática64 el 7 de Octubre de 2007 en Getafe España.

La duración del vídeo es de 00:38:25 por lo tanto si prefieres descargarlo puedes hacer click aquí.

También puedes descargar las diapositivas de la conferencia aquí (están en .pptx).

También puede interesarte...

SQL Injection Cheat Sheet

4v4t4r — Tue, 29 May 2007 13:55:29 +0000

EL siguiente Cheat Sheet (nosotros los paisas los llamamos pasteles, aunque en la mayoria de paises sean conocidos como chuletas) pretende hacer de manera clara y muy especifica las sentencias mas utilizadas en ataques de SQL Injection.
De esta manera el autor de la versión número 1.4 de este documento y administrador de su sitio web (ferruh), nos ofrece este genial documento.

En lo personal y con la experiencia que tengo en este tipo de ataques, no habia conocido un documento tan bien estructurado y organizado, pues aparte de ofrecernos una corta descripcion de cada uno de los tipos de ataques (simples, cadenas de operadores, blind y un largo etc.), comparte además varios ejemplos de como llevar a cabo este tipo de tests.

Hace la salvedad y aclara desde un comienzo que profundiza en ataques a los gestores MySQL, SQL Server de Microsoft, unos pequeños pero muy efectivos a oracle y PostgreSQL.

Comparto entonces el enlace del documento:
Web

Además me tomé la tarea de editar el documento y convertirlo a PDF para facilitar un poco la visualización y estudio del mismo:
Descargar documento en PDF

También puede interesarte...

Lista de Scanners para SQL Injection.

DragoN — Thu, 24 May 2007 14:55:59 +0000

Viendo un articulo en Security Hacks donde analizan 15 herramientas escaneo para lograr SQL Injection, me encuentro con este listado de aplicaciones para realizar esta tarea.

Via
Security Hacks