SQL Injection
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Ffiles.gitbook.com%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-L_2uGJGU7AVNRcqRvEi%252Fuploads%252FelPCTwoecVdnsfjxCZtN%252Fimage.png%3Falt%3Dmedia%26token%3D9ee4ff3e-92dc-471c-abfe-1c25e446a6ed&width=768&dpr=4&quality=100&sign=9c8fe74f&sv=1)
RootedCON es el evento de ciberseguridad más relevante en España y uno de los más importantes en Europa. Con la misión de promover el conocimiento técnico, este congreso es un punto de encuentro vibrante para profesionales de la tecnología y la ciberseguridad en cada disciplina.
¿Qué es la inyección SQL?
Una inyección SQL es una falla de seguridad que permite a los atacantes interferir con las consultas a la base de datos de una aplicación. Esta vulnerabilidad puede permitir a los atacantes ver, modificar o eliminar datos a los que no deberían tener acceso, incluyendo información de otros usuarios o cualquier dato al que la aplicación pueda acceder. Tales acciones pueden resultar en cambios permanentes en la funcionalidad o contenido de la aplicación o incluso en la compromisión del servidor o denegación de servicio.
Detección de puntos de entrada
Cuando un sitio parece ser vulnerable a la inyección SQL (SQLi) debido a respuestas inusuales del servidor a entradas relacionadas con SQLi, el primer paso es entender cómo inyectar datos en la consulta sin interrumpirla. Esto requiere identificar el método para escapar del contexto actual de manera efectiva. Estos son algunos ejemplos útiles:
Entonces, necesitas saber cómo arreglar la consulta para que no haya errores. Para arreglar la consulta, puedes ingresar datos para que la consulta anterior acepte los nuevos datos, o simplemente puedes ingresar tus datos y agregar un símbolo de comentario al final.
Ten en cuenta que si puedes ver mensajes de error o puedes notar diferencias cuando una consulta está funcionando y cuando no, esta fase será más fácil.
Comentarios
Confirmando con operaciones lógicas
Un método confiable para confirmar una vulnerabilidad de inyección SQL implica ejecutar una operación lógica y observar los resultados esperados. Por ejemplo, un parámetro GET como ?username=Peter
que produce contenido idéntico cuando se modifica a ?username=Peter' o '1'='1
indica una vulnerabilidad de inyección SQL.
De manera similar, la aplicación de operaciones matemáticas sirve como una técnica de confirmación efectiva. Por ejemplo, si acceder a ?id=1
y ?id=2-1
produce el mismo resultado, es indicativo de inyección SQL.
Ejemplos que demuestran la confirmación de operaciones lógicas:
Esta lista de palabras fue creada para intentar confirmar SQLinjections de la manera propuesta:
Confirmando con Tiempo
En algunos casos no notarás ningún cambio en la página que estás probando. Por lo tanto, una buena manera de descubrir inyecciones SQL ciegas es hacer que la base de datos realice acciones que tendrán un impacto en el tiempo que necesita la página para cargar. Por lo tanto, vamos a concatenar en la consulta SQL una operación que tomará mucho tiempo en completarse:
En algunos casos, las funciones de sleep no estarán permitidas. Entonces, en lugar de usar esas funciones, podrías hacer que la consulta realice operaciones complejas que tardarán varios segundos. Ejemplos de estas técnicas se comentarán por separado en cada tecnología (si las hay).
Identificación del Back-end
La mejor manera de identificar el back-end es intentar ejecutar funciones de los diferentes back-ends. Podrías usar las funciones de sleep de la sección anterior o estas (tabla de payloadsallthethings:
También, si tienes acceso a la salida de la consulta, podrías hacer que imprima la versión de la base de datos.
En una continuación, vamos a discutir diferentes métodos para explotar diferentes tipos de SQL Injection. Usaremos MySQL como ejemplo.
Identificando con PortSwigger
Explotando Basado en Unión
Detectando el número de columnas
Si puedes ver la salida de la consulta, esta es la mejor manera de explotarla. Primero que nada, necesitamos averiguar el número de columnas que la solicitud inicial está devolviendo. Esto se debe a que ambas consultas deben devolver el mismo número de columnas. Se utilizan típicamente dos métodos para este propósito:
Order/Group by
Para determinar el número de columnas en una consulta, ajusta incrementalmente el número utilizado en las cláusulas ORDER BY o GROUP BY hasta que se reciba una respuesta falsa. A pesar de las distintas funcionalidades de GROUP BY y ORDER BY dentro de SQL, ambos pueden ser utilizados de manera idéntica para determinar el conteo de columnas de la consulta.
UNION SELECT
Selecciona más y más valores nulos hasta que la consulta sea correcta:
Deberías usar valores null
ya que en algunos casos el tipo de las columnas de ambos lados de la consulta debe ser el mismo y null es válido en todos los casos.
Extraer nombres de bases de datos, nombres de tablas y nombres de columnas
En los siguientes ejemplos vamos a recuperar el nombre de todas las bases de datos, el nombre de la tabla de una base de datos, los nombres de las columnas de la tabla:
Hay una forma diferente de descubrir estos datos en cada base de datos diferente, pero siempre es la misma metodología.
Explotando Union Basado Oculto
Cuando la salida de una consulta es visible, pero una inyección basada en unión parece inalcanzable, esto significa la presencia de una inyección basada en unión oculta. Este escenario a menudo conduce a una situación de inyección ciega. Para transformar una inyección ciega en una basada en unión, es necesario discernir la consulta de ejecución en el backend.
Esto se puede lograr mediante el uso de técnicas de inyección ciega junto con las tablas predeterminadas específicas de su Sistema de Gestión de Bases de Datos (DBMS) objetivo. Para entender estas tablas predeterminadas, se aconseja consultar la documentación del DBMS objetivo.
Una vez que se ha extraído la consulta, es necesario adaptar su carga útil para cerrar de manera segura la consulta original. Posteriormente, se agrega una consulta de unión a su carga útil, facilitando la explotación de la inyección basada en unión recién accesible.
Para obtener información más completa, consulte el artículo completo disponible en Healing Blind Injections.
Explotando Basado en Errores
Si por alguna razón no puede ver la salida de la consulta pero puede ver los mensajes de error, puede hacer que estos mensajes de error exfiltren datos de la base de datos. Siguiendo un flujo similar al de la explotación basada en unión, podría lograr volcar la base de datos.
Explotando Blind SQLi
En este caso, no puedes ver los resultados de la consulta ni los errores, pero puedes distinguir cuando la consulta devuelve una respuesta verdadera o falsa porque hay diferentes contenidos en la página. En este caso, puedes abusar de ese comportamiento para volcar la base de datos carácter por carácter:
Explotando Error Blind SQLi
Este es el mismo caso que antes pero en lugar de distinguir entre una respuesta verdadera/falsa de la consulta, puedes distinguir entre un error en la consulta SQL o no (quizás porque el servidor HTTP se bloquea). Por lo tanto, en este caso puedes forzar un SQLerror cada vez que adivinas correctamente el carácter:
Explotando SQLi Basado en Tiempo
En este caso no hay ninguna manera de distinguir la respuesta de la consulta basada en el contexto de la página. Pero, puedes hacer que la página tarde más en cargar si el carácter adivinado es correcto. Ya hemos visto esta técnica en uso anteriormente para confirmar una vulnerabilidad SQLi.
Consultas Apiladas
Puedes usar consultas apiladas para ejecutar múltiples consultas en sucesión. Ten en cuenta que, aunque las consultas posteriores se ejecutan, los resultados no se devuelven a la aplicación. Por lo tanto, esta técnica es principalmente útil en relación con vulnerabilidades ciegas donde puedes usar una segunda consulta para activar una búsqueda DNS, un error condicional o un retraso de tiempo.
Oracle no soporta consultas apiladas. MySQL, Microsoft y PostgreSQL las soportan: QUERY-1-HERE; QUERY-2-HERE
Explotación Fuera de Banda
Si ningún otro método de explotación funcionó, puedes intentar hacer que la base de datos exfiltre la información a un host externo controlado por ti. Por ejemplo, a través de consultas DNS:
Exfiltración de datos fuera de banda a través de XXE
Explotación Automatizada
Consulta la SQLMap Cheetsheat para explotar una vulnerabilidad de SQLi con sqlmap.
Información técnica específica
Ya hemos discutido todas las formas de explotar una vulnerabilidad de Inyección SQL. Encuentra algunos trucos más dependientes de la tecnología de base de datos en este libro:
O encontrarás muchos trucos sobre: MySQL, PostgreSQL, Oracle, MSSQL, SQLite y HQL en https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/SQL%20Injection
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Ffiles.gitbook.com%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-L_2uGJGU7AVNRcqRvEi%252Fuploads%252FelPCTwoecVdnsfjxCZtN%252Fimage.png%3Falt%3Dmedia%26token%3D9ee4ff3e-92dc-471c-abfe-1c25e446a6ed&width=768&dpr=4&quality=100&sign=9c8fe74f&sv=1)
RootedCON es el evento de ciberseguridad más relevante en España y uno de los más importantes en Europa. Con la misión de promover el conocimiento técnico, este congreso es un punto de encuentro vibrante para profesionales de la tecnología y la ciberseguridad en cada disciplina.
Bypass de autenticación
Lista para intentar eludir la funcionalidad de inicio de sesión:
Login bypass ListBypass de autenticación de hash en bruto
Esta consulta muestra una vulnerabilidad cuando se utiliza MD5 con verdadero para la salida en bruto en las verificaciones de autenticación, lo que hace que el sistema sea susceptible a la inyección SQL. Los atacantes pueden explotar esto creando entradas que, cuando se hash, producen partes inesperadas de comandos SQL, lo que lleva a un acceso no autorizado.
Bypass de autenticación por hash inyectado
Lista recomendada:
Deberías usar como nombre de usuario cada línea de la lista y como contraseña siempre: Pass1234. (Estos payloads también están incluidos en la gran lista mencionada al principio de esta sección)
Bypass de Autenticación GBK
SI ' está siendo escapado puedes usar %A8%27, y cuando ' se escapa se creará: 0xA80x5c0x27 (╘')
Python script:
Inyección poliglota (multicontexto)
Insert Statement
Modificar la contraseña de un objeto/usuario existente
Para hacerlo, debes intentar crear un nuevo objeto llamado como el "objeto maestro" (probablemente admin en el caso de los usuarios) modificando algo:
Crear un usuario llamado: AdMIn (letras mayúsculas y minúsculas)
Crear un usuario llamado: admin=
SQL Truncation Attack (cuando hay algún tipo de límite de longitud en el nombre de usuario o correo electrónico) --> Crear un usuario con el nombre: admin [muchos espacios] a
SQL Truncation Attack
Si la base de datos es vulnerable y el número máximo de caracteres para el nombre de usuario es, por ejemplo, 30 y deseas suplantar al usuario admin, intenta crear un nombre de usuario llamado: "admin [30 espacios] a" y cualquier contraseña.
La base de datos verificará si el nombre de usuario introducido existe dentro de la base de datos. Si no, cortará el nombre de usuario al número máximo permitido de caracteres (en este caso a: "admin [25 espacios]") y luego eliminará automáticamente todos los espacios al final actualizando dentro de la base de datos al usuario "admin" con la nueva contraseña (puede aparecer algún error, pero eso no significa que esto no haya funcionado).
Más información: https://blog.lucideus.com/2018/03/sql-truncation-attack-2018-lucideus.html & https://resources.infosecinstitute.com/sql-truncation-attack/#gref
Note: Este ataque ya no funcionará como se describe arriba en las últimas instalaciones de MySQL. Aunque las comparaciones aún ignoran los espacios en blanco al final por defecto, intentar insertar una cadena que sea más larga que la longitud de un campo resultará en un error, y la inserción fallará. Para más información sobre esto, consulta: https://heinosass.gitbook.io/leet-sheet/web-app-hacking/exploitation/interesting-outdated-attacks/sql-truncation
Comprobación basada en el tiempo de inserción de MySQL
Agrega tantos ','',''
como consideres para salir de la declaración VALUES. Si se ejecuta un retraso, tienes una SQLInjection.
ON DUPLICATE KEY UPDATE
La cláusula ON DUPLICATE KEY UPDATE
en MySQL se utiliza para especificar acciones que la base de datos debe tomar cuando se intenta insertar una fila que resultaría en un valor duplicado en un índice UNIQUE o en la PRIMARY KEY. El siguiente ejemplo demuestra cómo se puede explotar esta característica para modificar la contraseña de una cuenta de administrador:
Example Payload Injection:
Un payload de inyección podría ser elaborado de la siguiente manera, donde se intenta insertar dos filas en la tabla users
. La primera fila es un señuelo, y la segunda fila apunta al correo electrónico de un administrador existente con la intención de actualizar la contraseña:
Aquí está cómo funciona:
La consulta intenta insertar dos filas: una para
generic_user@example.com
y otra paraadmin_generic@example.com
.Si la fila para
admin_generic@example.com
ya existe, la cláusulaON DUPLICATE KEY UPDATE
se activa, instruyendo a MySQL para actualizar el campopassword
de la fila existente a "bcrypt_hash_of_newpassword".En consecuencia, se puede intentar la autenticación utilizando
admin_generic@example.com
con la contraseña correspondiente al hash bcrypt ("bcrypt_hash_of_newpassword" representa el hash bcrypt de la nueva contraseña, que debe ser reemplazado por el hash real de la contraseña deseada).
Extraer información
Creando 2 cuentas al mismo tiempo
Al intentar crear un nuevo usuario, se necesitan el nombre de usuario, la contraseña y el correo electrónico:
Usando decimal o hexadecimal
Con esta técnica puedes extraer información creando solo 1 cuenta. Es importante notar que no necesitas comentar nada.
Usando hex2dec y substr:
Para obtener el texto, puedes usar:
Usando hex y replace (y substr):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Ffiles.gitbook.com%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-L_2uGJGU7AVNRcqRvEi%252Fuploads%252FelPCTwoecVdnsfjxCZtN%252Fimage.png%3Falt%3Dmedia%26token%3D9ee4ff3e-92dc-471c-abfe-1c25e446a6ed&width=768&dpr=4&quality=100&sign=9c8fe74f&sv=1)
RootedCON es el evento de ciberseguridad más relevante en España y uno de los más importantes en Europa. Con la misión de promover el conocimiento técnico, este congreso es un punto de encuentro vibrante para profesionales de la tecnología y la ciberseguridad en cada disciplina.
Inyección SQL enrutada
La inyección SQL enrutada es una situación en la que la consulta inyectable no es la que da salida, sino que la salida de la consulta inyectable va a la consulta que da salida. (From Paper)
Ejemplo:
Bypass de WAF
Bypass sin espacios
Sin espacio (%20) - bypass utilizando alternativas de espacio en blanco
No Whitespace - eludir usando comentarios
No Whitespace - eludir usando paréntesis
No commas bypass
No Comma - eludir usando OFFSET, FROM y JOIN
Bypasses Genéricos
Lista negra usando palabras clave - eludir usando mayúsculas/minúsculas
Blacklist usando palabras clave sin distinción de mayúsculas y minúsculas - eludir usando un operador equivalente
Bypass de WAF mediante Notación Científica
Puedes encontrar una explicación más detallada de este truco en el blog de gosecure. Básicamente, puedes usar la notación científica de maneras inesperadas para el WAF para eludirlo:
Bypass Column Names Restriction
Primero que nada, nota que si la consulta original y la tabla de la que deseas extraer la bandera tienen la misma cantidad de columnas podrías simplemente hacer: 0 UNION SELECT * FROM flag
Es posible acceder a la tercera columna de una tabla sin usar su nombre utilizando una consulta como la siguiente: SELECT F.3 FROM (SELECT 1, 2, 3 UNION SELECT * FROM demo)F;
, así que en una sqlinjection esto se vería así:
O usando un bypass de coma:
Este truco fue tomado de https://secgroup.github.io/2017/01/03/33c3ctf-writeup-shia/
Herramientas sugeridoras de bypass de WAF
Otras Guías
Lista de Detección de Fuerza Bruta
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Ffiles.gitbook.com%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F-L_2uGJGU7AVNRcqRvEi%252Fuploads%252FelPCTwoecVdnsfjxCZtN%252Fimage.png%3Falt%3Dmedia%26token%3D9ee4ff3e-92dc-471c-abfe-1c25e446a6ed&width=768&dpr=4&quality=100&sign=9c8fe74f&sv=1)
RootedCON es el evento de ciberseguridad más relevante en España y uno de los más importantes en Europa. Con la misión de promover el conocimiento técnico, este congreso es un punto de encuentro vibrante para profesionales de la tecnología y la ciberseguridad en cada disciplina.
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated