Reklama: Masz stronę WWW i nikt jej nie odwiedza , ZMIEŃ TO
Dołącz do grupy

Stwórz profil

Musisz wpisać swoje imię
Musisz wpisać swoje nazwisko
Musisz wpisać poprawny e-mail
Musisz wpisać hasło (min. 8 znaków)
Musisz zaakceptować regulamin

Marcin Towalski Student,

Temat: SQL Injection -> Materiały C#

Witam, aktualnie zacząłem pisać pracę inżynierską na temat SQL Injection(student informatyki)... Jednym z zadań w mojej pracy inżynierskiej jest napisanie program do SQL Injection(preferowany język C#), jednak nie mogę znaleźć żadnych przydatnych informacji; mówiąc prosto z mostu jak zacząć pisać taki program, czy moglibyście mnie jakoś naprowadzić jak zacząć lub gdzie szukać informacji na ten temat? z góry dziękuję za każdą pomoc
25.12.2011, 16:12
Link do wypowiedziLink | Cytuj

Michał Ławicki dostawca zadowolenia

Temat: SQL Injection -> Materiały C#

Język w jakim będziesz pisał program ma najmniejsze znaczenie. Po pierwsze musisz określić w czym chcesz szukać SQLi - webapp, "klasyczne" aplikacje. A następnie musisz podążać prostym schematem: # wyłapać miejsca, w których może wystąpić SQLi # sprawdzić czy dane miejsca są podatne # w razie podatności wykonać listę zapytań z nadzieją, że któreś zwróci wynik, bądź też bawić się w blind sqli.

Pytanie zasadnicze: jak duża jest Twoja wiedza o SQLi?
26.12.2011, 15:45
Link do wypowiedziLink | Cytuj

Marcin Towalski Student,

Temat: SQL Injection -> Materiały C#

Póki co podstawy, znaczy się znam zapytani itp. ale nie wiem od strony programowania jak we wprowadzić w życie czy poprzez webrequest czy w jakiś inny sposób...
Wiem, jak manualnie przeprowadzić ataki.
26.12.2011, 19:13
Link do wypowiedziLink | Cytuj

Michał Ławicki dostawca zadowolenia

Temat: SQL Injection -> Materiały C#

W takim razie zmieniam pytanie zasadnicze :) skoro wiesz jak przeprowadzić SQLi to pytanie czy znasz C#? w .NET jest kilka mechanizmów, które można wykorzystać to wysłania zapytania GET / POST do testowanej strony. Wybór odpowiedniego sprowadza się do zapoznania się z możliwościami i ograniczeniami każdego z nich.
29.12.2011, 02:12
Link do wypowiedziLink | Cytuj

Dominik Małowiecki Linux / Unix System
Administrator

Temat: SQL Injection -> Materiały C#

SQL Injection Resources

http://owasp.blogspot.com/2009/12/sql-injection-resour...
29.12.2011, 06:20
Link do wypowiedziLink | Cytuj

Marcin Towalski Student,

Temat: SQL Injection -> Materiały C#

Michał Ławicki:
W takim razie zmieniam pytanie zasadnicze :) skoro wiesz jak przeprowadzić SQLi to pytanie czy znasz C#? w .NET jest kilka mechanizmów, które można wykorzystać to wysłania zapytania GET / POST do testowanej strony. Wybór odpowiedniego sprowadza się do zapoznania się z możliwościami i ograniczeniami każdego z nich.

Właśnie mi o to chodziło, czy używamy GET czy POST...
ale już to wszystko rozgryzłem z Wireshark i Havij
29.12.2011, 10:37
Link do wypowiedziLink | Cytuj

Marcin Bury programista

Temat: SQL Injection -> Materiały C#

GET i POST zależnie od typu wstrzyknięcia, jest kilka typów sql injection

nie wiem dokładnie jaki program masz napisać jeżeli ma to być soft na zasadzie skanera który przyjmuje adres strony i szuka błędów to musisz stworzyć crawlera który w obrębie danej domeny zbierze wszystkie adresy, następnie przeparsuje je aby nie było duplikatów.
strona.pl/index.php?id=3 i strona.pl/index.php?id=5 to ten sam parametr wejścia, pamiętaj że formularze logowania, rejestracji etc też mogą byc podatne więc i linki do nich warto zebrać.

no i mając już tak listę próbujesz wstrzyknąć własny kod, no a później exploitacja
-error based sqlinj
-union
-blind (time based)
1.01.2012, 13:08
Link do wypowiedziLink | Cytuj

Marcin Towalski Student,

Temat: SQL Injection -> Materiały C#

Marcin Bury:
GET i POST zależnie od typu wstrzyknięcia, jest kilka typów sql injection

nie wiem dokładnie jaki program masz napisać jeżeli ma to być soft na zasadzie skanera który przyjmuje adres strony i szuka błędów to musisz stworzyć crawlera który w obrębie danej domeny zbierze wszystkie adresy, następnie przeparsuje je aby nie było duplikatów.
strona.pl/index.php?id=3 i strona.pl/index.php?id=5 to ten sam parametr wejścia, pamiętaj że formularze logowania, rejestracji etc też mogą byc podatne więc i linki do nich warto zebrać.

no i mając już tak listę próbujesz wstrzyknąć własny kod, no a później exploitacja
-error based sqlinj
-union
-blind (time based)

Dzięki bardzo za pomoc, tak zacząłem pisać już crawlera, teraz tylko jak wspomniałeś muszę wybrać metody ataku...
1.01.2012, 13:15
Link do wypowiedziLink | Cytuj

Przemysław R. pracownik

Temat: SQL Injection -> Materiały C#

Marcin Towalski:
Dzięki bardzo za pomoc, tak zacząłem pisać już crawlera, teraz tylko jak wspomniałeś muszę wybrać metody ataku...

A znasz SQL-a?
ciężko robić SQL injection jak się nie zna SQL-a na dosyć dobrym poziomie
1.01.2012, 16:15
Link do wypowiedziLink | Cytuj

Marcin Towalski Student,

Temat: SQL Injection -> Materiały C#

spokojnie znam SQL... problem był tylko jak go wywoływać czy poprzez GET czy jakiś inny rodzaj połączenia
1.01.2012, 16:57
Link do wypowiedziLink | Cytuj

Przemysław R. pracownik

Temat: SQL Injection -> Materiały C#

połączenie jest bez znaczenia
istotą SQL injection są błędy programisty po stronie aplikacji pozwalające na doklejenie ciągu do aktualnie wykonywanego zapytania SQL

więc czy prześlesz to POST, czy GET, a nawet COOKIE jest bez znaczenia bo to nie dotyka istoty problemu
1.01.2012, 19:08
Link do wypowiedziLink | Cytuj

Tomasz Nakielny Główny Specjalista
ds. Systemów
Informatycznych

Temat: SQL Injection -> Materiały C#

Przemysław R.:
Marcin Towalski:
Dzięki bardzo za pomoc, tak zacząłem pisać już crawlera, teraz tylko jak wspomniałeś muszę wybrać metody ataku...

A znasz SQL-a?
ciężko robić SQL injection jak się nie zna SQL-a na dosyć dobrym poziomie

@Przemek: jest świetne narzędzie do SQLI dla amatorów: http://yamagata.int21h.jp/tool/intruder21/ ;) znacznie to przyjemniejsze niż pythonowski sqlmap
1.01.2012, 21:59
Link do wypowiedziLink | Cytuj
« Wróć do tematów
Odpowiedz
Dołącz do grupy



Wyślij zaproszenie do

Anuluj