Sql Injection

Dieses Thema im Forum "Sicherheit & Datenschutz" wurde erstellt von BloodAngel, 10. Oktober 2006 .

Schlagworte:
  1. Diese Seite verwendet Cookies. Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies. Weitere Informationen
  1. #1 10. Oktober 2006
    Also habe da ein paar Fragen dazu.

    (1) Wie bekomme ich raus ob im Hintergrund eine Datenbank läuft?

    (2) Injection geschieht ja mit Select ....... und dabei muss man ja die Tabelle und auch die Spalten
    kennen zumindest wie sie genannt werden. Wie bekommt man das raus?

    (3) Nachdem man das alles kennt kann man sich ja einfach den COde zusammenbasteln, nun Wo
    gibt man diesen Code genau ein?

    Fragen über Fragen *G*


    Mfg Bloody
     

  2. Anzeige
  3. #2 10. Oktober 2006
    AW: Sql Injection

    1. Foren, etc. benutzen Datenbanken, das weiss man einfach.
    2. Indem man weiss welche Tabellen das 'Script' benutzt (Script anglubschen).
    3. Das weisst du wenn du die Sprache gut kennst ...

    Fazit: Lernen, lernen und lernen.
     
  4. #3 10. Oktober 2006
    AW: Sql Injection

    Nix was mir jetzt genau richtig beantwortet worde *g*

    Um genauer zu sein wie anhand welches script? Wie sieht das aus und was sollte man sehen?

    Gibt es da viele mgls um die Injection einzugeben?
     
  5. #4 10. Oktober 2006
    AW: Sql Injection

    Lern erstmal SQL - damit hast du die Vorraussetzung die Materie zu verstehen!
    Wenn du eine Schwachstelle finden willst, musst du dir die Software genau anschauen, welche Querys gemacht werden, etc.
    Wenn du SQL verstehst (ich habe mich damit leider nicht genug befasst), weist du wie du durch einen Code die Querys auslesen kannst!

    Hatte da mal nen nettes TUT, hab ich aber anscheinend verlegt!
     
  6. #5 14. Oktober 2006
    AW: Sql Injection

    Ob eine SQL-Injection möglichst ist würde ich einfach mal an übergebene GET oder POST Parameter bisschen rumfummeln (z.B. mal nen ' einsetzen). Wenn dann nen SQL-Error kommt wie "The selected SQL-Statmenet blabla" siehts schonmal gut aus, dann kannste weiter rumprobieren.
    Zu 2: Man muss nicht immer wissen was für Tabellen-Namen benutzt werden, z.B. kannst du ohne Tabellen-Namen und nen bekanntes verzeichnis mit chmod 777 ne PHP-Shell hochladen.
    Schau dir am besten mal bei milw0rm.com ein paar Exploits zum THema Web-Apps an (learing by doing :p)

    FlowFlo
     

  7. Videos zum Thema
Die Seite wird geladen...
Similar Threads - Sql Injection
  1. Antworten:
    0
    Aufrufe:
    1.393
  2. Antworten:
    6
    Aufrufe:
    709
  3. Antworten:
    14
    Aufrufe:
    1.866
  4. Antworten:
    23
    Aufrufe:
    3.645
  5. [SQL] MYSQL - Injections

    Dark|pUM4 , 13. Juni 2010 , im Forum: Webentwicklung
    Antworten:
    9
    Aufrufe:
    840