La inyección directa de comandos SQL es una técnica donde un atacante crea o altera comandos SQL existentes para exponer datos ocultos, sobrescribir los valiosos, o peor aún, ejecutar comandos peligrosos a nivel de sistema en el equipo que hospeda la base de datos. Esto se logra a través de la práctica de tomar la entrada del usuario y combinarla con parámetros estáticos para elaborar una consulta SQL.
En esta práctica usa la técnica SQL injection para obtener información relevante sobre la estructura de una base de datos.
Para esta práctica necesitaras usar una máquina virtual preparada para el software de simulación VirtualBox. Si no tienes instalado VirtualBox puedes descargar el instalador desde este enlace.
La máquina virtual (380MB) en formato 7-Zip, que usaremos, lo podéis descargar a través del siguiente enlace
Una vez descargada la máquina estos son los pasos a seguir:
- 1. Descomprimir utilizando un software de compresión compatible con 7-Zip (puedes descargar este último desde su página web).
- 2. Entrar en la carpeta en la que se ha descomprimido el 7-zip de la máquina. Allí encontraremos unos ficheros llamados dvwa-windows.vbox (puede que la extensión esté oculta, dependiendo de la configuración del explorador de ficheros) y dvwa-linux. vbox.
- 3. Hacemos doble clic sobre el fichero que corresponda al sistema operativo que estemos usando en nuestro ordenador (p. ej. si estamos usando Linux hacemos doble clic sobre el fichero dvwa-linux.vbox).
- 4. Al hacer doble clic se importará la máquina virtual en VirtualBox.
-
5. Seleccionamos con el ratón la máqina que se llama «dvwa» y pulsamos sobre el botón llamado «Iniciar»:
6. Cuando termine de iniciarse la máquina virtual obtendremos la siguiente pantalla, donde se nos muestra la dirección IP que ha obtenido por DHCP, y que deberemos usar posteriormente para conectarnos a ella:
7. Una vez ejecutada la máquina, anota la dirección IP y mediante el navegador web accede a la dirección http://direccionIP/login.php
8. Una vez logueados, cambiar el nivel de seguridad en la pestana DVWA Security por el parametro «Low»
9. Seleccionamos la pestana SQL Injection para comensar a ejecutar los comandos
10. En el cuadro de texto insertamos 1, para obtener el registro del usuario con id = 1
Una lista completa de los diferentes tipos de Injecciones SQL que podemos hacer, la veremos en: Damn Vulnerable Web App (DVWA): Lesson 6
Este método para obtener información es de los primeros en ser analizados por los hackers, ya que determinan una baja seguridad a nivel de la aplicación o servicio que un servidor brinde.
Hasta aquí este apartado del curso de Seguridad Hacking ético impartido por Mondragon Unibersitatea.
Seguridad Hacking ético 