Ataques SQL

Actividades[pic 1]

Actividad: Realizar ataques SQL Injection a DVWA

En la siguiente actividad debes descargar WebGoat, para realizar ataques utilizando la técnica de SQL injection con la aplicación SQLMap (instalada en Kali).

Nota si bien el título indica DVWA, el cuerpo del texto indica WebGoat, éste último es el que se deberá emplear.

Para esta actividad, se deberá utilizar la plataforma WebGoat y los ejercicios que deberá completar son los siguientes:

Dentro de Injection Flaws:

• Command Injection
• String SQL Injection
• Blind String SWL Injection

Para la realización de estos, la herramienta que deberán utilizar de preferencia es Webscarab o similar. La idea es que aprendan a realizar los ataques, por lo que, no recomiendo el uso de herramientas automatizadas, ya que simplemente les daría el resultado.

Otro elemento que no se recomienda es ver los videos antes de intentar realizar la actividad por ustedes mismos, ya que se convertiría en copia y pega de lo que hagan en el video. Solo en caso último se sugeriría revisar los videos.

El documento a entregar es cómo realizaron o qué elementos utilizaron para el ataque. Por favor no impriman cada pantalla, sólo las más importantes. El motivo de esto último es que el sistema utilizado para la revisión de trabajos, en ocasiones no permite el despliegue de documentos muy extensos (pesados).

Extensión máxima: 10 páginas (Georgia 11 e interlineado 1,5).

Una inyección SQL es una técnica utilizada para manipular servicios web enviando consultas SQL a un sistema gestor de bases de datos relacional (RDBMS), para alterar, insertar, o borrar datos en una base de datos.

Para el siguiente ejemplo se utilizará las versión 5.4 de WebGoat, WebGoat es una aplicación web J2EE deliveradamente insegura, diseñada para enseñar lecciones de seguridad en aplicaciones web.

Para este trabajo se bajó la versión de WebGoat de la siguiente dirección

https://github.com/WebGoat/WebGoat-Archived-Releases

[pic 2]

Una vez que descomprimí el archivo procedí a la ejecución del archivo webgoat

Espere a que terminara la ejecución y después ejecute webgoat_8080

[pic 3]

Procedí a verificar que el Apache estuviera trabajando

[pic 4]

Ingresar a WebGoat utilizando un navegador web.

Ingresar a la opción “Injection Flaws -> LAB: SQL Injection -> Stage 1: String SQL Injection”.

[pic 5]

Se ingresa cualquier contraseña para el usuario “Larry stooge (employee)”. El mensaje devuelto por la aplicación es “* Login Failed” o Login Fallido.

...