inyeccion sql

artzneo · Publicado: Jue Jul 03, 2008 11:46 am **Asunto**: inyeccion sql

pues hace poro he estado mirando "grafitis virtuales" algunos tips contra la inyeccion de sql ¡En Shock!

_________________
Te invito a ver mi blog | Lee el reglamento | CUCEA linux

zix1 · Publicado: Jue Jul 03, 2008 12:13 pm **Asunto**: Re: inyeccion sql

Te refieres a esto:

http://www.unixwiz.net/techtips/sql-injection.html

Duda o Pregunta

_________________
En algun momento creaste un post buscando una Solucion??Si lo solucionaste puedes editarlo de manera que quede (Nombre de post [Solucionado])

Kde_Tony · Publicado: Vie Jul 04, 2008 11:17 am **Asunto**: Re: inyeccion sql

injection SQL ....?? estas seguro
_________________
"Quiero cambiar al mundo pero no me dan los RPM"
----------------------------
Tony Blair
Linux User # 433253
Ubuntu User # 9562
-----------------------------

lSaKenl · Publicado: Dom Jul 20, 2008 3:33 am **Asunto**: Re: inyeccion sql

Sí se refiere a la Inyección SQL "SQL Injection"

La inyección sql es el método más fácil que tienen los "script kiddies" para "grafitear" webs, mejor conocido como deface, claro que sólo lo hacen con la intención de impresionar a sus amigos.

Los grandes maestros de la seguridad de redes odian esta actividad, muy frecuentemente me encuentro con niños posteando en foros sobre su deface y estos mismos siendo "flameados" (insultados) por los miembros del foro.

Por esto es que CASI podría garantizarte que quien intente hacer un inject de tal naturaleza, siempre será un niño con pocos conocimientos que quiere presumir. Si llegase a tener cualquier dificultad, pasará a otra web Sonriendo

.

Noción BÁSICA de los SQL Injects (Básica porque no es mi intención que alguien encuentre este escrito y lo utilize para hacer defaces)

Cuando alguien hace una consulta a la base de datos, generalmente lo hace así:

(Mero ejemplo)
SELECT * FROM users WHERE name = '$name' AND password = '$pass'

Pero qué pasa si:

$name = ' OR name = 'admin
$password = ' OR password != '1

Entonces la consulta quedaría:

SELECT * FROM users WHERE name = '' OR name = 'admin' AND password = '' OR password != '1

Por lo tanto, intentaría hacer un login (La consulta sería para login)
con el usuario admin y con el password diferente de 1

Como se puede ver, la naturaleza de un inject es basada puramente en el cierre de apóstrofes e inclusión de comandos.

Entonces qué se puede hacer al respecto?

Escapar los apóstrofes! " \' "

La mayoría de las instalaciones de PHP actuales tienen la opción magic quotes como ON. Esto mantenía tranquilos a los programadores de web en PHP, pero algunas versiones son vulnerables a introducir campos en hexadecimal. La variable sería traducida a caracteres después de la verificación de apóstrofes y entonces sería vulnerable la página. Es por esto que últimamente hay muchos defaces a web.

Entonces, si no puedes confiar en "magic quotes", pues entonces confía en tí mismo.....

addslashes($variable); en php hará lo mismo después de ser traducida a una cadena de caracteres.

No conozco perl, pero debe de tener una función de escape también al igual que todos los lenguajes "server side scripting"

Para quitar el escape de caracteres basta con: stripslashes($variable); (Lo mismo, en php porque no conozco otros)

Ahora, esto es lo más común. Puede que tengas algunas consultas de otro tipo, es cosa de que busques en tu código las consultas y veas si esto es suficiente, en caso de no serlo, entonces habrías de filtrar los contenidos para un rango de valores posibles o más sencillo aún, filtrar las variables para que no tengan: apóstrofes, comillas y/o palabras reservadas del lenguaje SQL: SELECT, FROM, etc. debe haber webs donde se pueda encontrar una lista de todas ellas.

Espero te haya sido de utilidad.

Saludos!!

-- SaKen
_________________
Yo no te puedo decir cómo será la tercera guerra mundial, pero sí te puedo decir que la cuarta será con palos y piedras

artzneo · Publicado: Dom Jul 20, 2008 8:46 am **Asunto**: Re: inyeccion sql

ok gracias lSaKenl ya me diste algo por donde comenzar =)
_________________
Te invito a ver mi blog | Lee el reglamento | CUCEA linux

Kde_Tony · Publicado: Dom Jul 20, 2008 4:14 pm **Asunto**: Re: inyeccion sql

plop ... era lo que no estaba seguro si estaban tocando este tema ...
_________________
"Quiero cambiar al mundo pero no me dan los RPM"
----------------------------
Tony Blair
Linux User # 433253
Ubuntu User # 9562
-----------------------------

d347h · Publicado: Mar Jul 29, 2008 12:11 pm **Asunto**: Re: inyeccion sql

zipp0 · Publicado: Lun Ago 04, 2008 8:51 am **Asunto**: Re: inyeccion sql

Muy interesante lo de sql injection Guiñando un ojo

Lo había visto antes, pero tu explicación ha sido muy buena Muy Feliz

Salu2 y esperemos que script kiddies no las usen!

Julito · Publicado: Dom Ago 10, 2008 7:00 pm **Asunto**: Re: inyeccion sql

Y si, hay muchas combinaciones de palabras que funcionan cuando no se las tiene en cuenta en los campos de user y pass en sql, se pueden utlizar para entrar como root o destruir info.

Saludos.