SQL INJECTION CONTRA DVWA

Analisis de vulneravilidades

SQL INJECTION CONTRA DVWA

Universidad de la Rioja
Maester universitario en Seguridad informatica

2020

INDICE

Objetivos y descripcion de la actividad……………………………………………………3

Acondicionamiento del entorno de trabajo……..………………………………………4

1. Parámetros vulnerables Criterio 1……………………………………………….5
2. Obtención de los nombres de la base de datos disponibles y el nombre de las tablas Criterio 2………………………………………………………………..6
3. Obtención de los usuarios de la base de datos DVWA. Criterio 3………7
4. Explotación de los comandos UNION y CONCAT. Criterio 4…………….9
5. Recuperar los nombres de las tablas de la base de datos DVWA. Criterio 5…………………………………………………………………………………..9
6. Recuperar el contenido de las tablas de la base de datos DVWA. Criterio 6…………………………………………………………………………………10

Webgrafía…………………………………………………………………………………………….12

Actividades[pic 1]

Actividad: SQL Injection contra DVWA

Objetivos

• Usando técnicas de explotación manual:

• Indicar cuál/cuáles son los parámetros vulnerables de la URL.
• Obtener los nombres de las bases de datos disponibles.
• Obtener los usuarios de la base de datos DVWA.
• El alumno deberá usar para la explotación los comandos SQL UNION y CONCAT.

• Usando herramientas automáticas de explotación, por ejemplo, SQLMap:

• Recuperar los nombres de las tablas de la base de datos DVWA.
• Recuperar el contenido de las tablas de la base de datos DVWA.

Descripción

En la siguiente actividad deberás realizar diversos ataques sobre la aplicación DVWA utilizando la técnica de SQL Injection.

Para ello, se deberán usar tanto técnicas de explotación manual como herramientas automáticas, por ejemplo, SQLMap.

El alumno deberá explicar y razonar debidamente los pasos dados para la realización de cada uno de los apartados.

DESARROLLO

Se ingresa a la maquina virtuall Metasploitable, y Kali para cargar la aplicación DVWA como lo muestra la imagen 1, se inicia sesión con

• User: admin
• Password: password

[pic 2]

Imagen 1. DVWA cargado

Se configura el parámetro DVWA Security en low para que pueda ser vulnerable más fácilmente la aplicación como lo muestra la imagen 2.

[pic 3]

Imagen 2. Configuración DVWA Security en LOW

Posteriormente se dirige al apartado SQL injection y se valida que la URL a atacar es:   Como lo muestra la imagen 3.

[pic 4]

Imagen 3. URL a atacar en SQL injection.

Seguido a esto se hace uso del Tamper Data para adquirir la cookie como lo muestra la imagen 4, la cookie en este caso es:

• security=low; PHPSESSID=6ed1f84358e647b8e3748101c75b16ba

[pic 5]

Imagen 4. Captura de la cookie para aprovechar la vulnerabilidad.

PARTE 1 MANUALMENTE

• Usando técnicas de explotación manual:

1. Parámetros vulnerables Criterio 1

• Indicar cuál/cuáles son los parámetros vulnerables de la URL.

El id es el parámetro vulnerable, en el apartado de la aplicación de DVWA SQL injection comenzaremos a validar los parámetros de la url donde se ve que el parámetro vulnerable de la URL es el ID como lo muestra la imagen 5, ya que en esta variable se guardan los usuarios con su respectiva user y password first name y Surname

[pic 6]

Imagen 5. id parámetro vulnerable de la url.

1. Obtención de los nombres de la base de datos disponibles y el nombre de las tablas Criterio 2

Para este apartado también realizado la explotación de la vulnerabilidad de la página id se realiza el query de la siguiente forma para obtener el nombre de la base de datos como lo muestra la imagen 6

• 1'    union select 1,database() #

[pic 7]

Imagen 6. base de datos disponible en la cual se encuentran alojados los registros.

Criterio 2. Ahora bien, para encontrar el nombre de las tablas de la base de datos information_schema, en la cual se almacena la información de todas las bases de datos del servidor mysql se usará el query y como muestra la imagen 7

• ' and 1=0 union select null, table_name from information_schema.tables #

[pic 8]

Imagen 7. información de todas las bases de datos del servidor mysql.

1. Obtención de los usuarios de la base de datos DVWA. Criterio 3

Para este apartado lo que se realiza es la explotación de la vulnerabilidad en este caso la variable id de la url y se usa el comando UNION para combinar las consultas SQL y CONCAT para concatenarlar. Para obtener el nombre de todos los usuarios de la base de datos con su respectiva contraseña  se coloca el query:

Para obtener nombre y apellido de los usuarios de la base de datos de DVWA imagen 8

• ' or 1=1 union select user(), version() #  
• 1' union select null,concat(user_id,0x0a, first_name,0x0a,password) from users #

' or 1=1 union select user, password from users #

...