SQL Injection

SQL injection és un tipus d'atac a una aplicació (típicament web) que consisteix en introduir codi SQL dins de punts d'entrada de informació (habitualment formularis) que no son degudament protegits.

Aquest acudit del gran XKCD ho resumeix molt bé:

Fins i tot li han dedicat una web monogràfica: https://bobby-tables.com

#FpInfor, #Ceti, #Ciber, #CetiMp03, #CiberMp03, #CetiMp05, #CiberMp05, #Daw, #DawMp07, #DawMp07Uf3, #DawMp07Uf03, sql injection, php

Senzill exemple en PHP

Descarrega aquest repositori amb un exemple de login en PHP vulnerable.

$ git clone https://github.com/emieza/sqlinjection-php
$ cd sqlinjection-php
$ docker-compose up -d --build

Visualitza l'aplicació amb el navegador a http://localhost:8000

Exercicis:

Posa en marxa el compose, busca els noms dels usuaris pre-registrats a la BD entre el codi i prova'ls.
Seguint la idea de l'acudit de XKCD, busca al menys 2 maneres d'aconseguir que et validi l'usuari sense contrasenya, només omplint el camp del nom d'usuari.
Prova de fer un atac amb 2 sentències SQL seguides, tal i com fa Bobby Tables.
Busca com cal fer les consultes PDO de PHP per tal de que deixin de ser vulnerables. Aquest article de PDO ho explica força bé (secció «Registrar datos con PDO»).
Fes un fork del projecte al teu compte de Github i soluciona la vulnerabilitat. Anomena el script parxejat index2.php.

Per executar els tests us caldrà Firefox-ESR, ja que el Firefox d'Ubuntu que ve instal·lat per snap no funciona.

Consulteu Firefox-ESR per instal·lar-ho.

Aplicació de test DVWA

DVWA o Damn Vulnerable Web Application és una aplicació web intencionadament vulnerable per a provar atacs diversos, entre ells els de SQL injection.

Referències:

Pàgina oficial DVWA: https://github.com/digininja/DVWA
Una versió «cachejada» de l'antiga web oficial: http://web.archive.org/web/20181231150718/http://dvwa.co.uk/
Versió Docker DVWA (obsoleta): https://hub.docker.com/r/vulnerables/web-dvwa

Descarrega el repo oficial i l'aixequem amb docker-compose:

$ git clone https://github.com/digininja/DVWA
$ cd DVWA
$ docker-compose up -d --build

Podràs visualitzar l'aplicació DVWA a http://localhost:4280

Entra amb usuari «admin» i «password». Fes el setup per configurar la BD.

Vés a la secció «SQL injection» i prova algun dels atacs que se't puguin acudir. Pots mirar el codi PHP que s'utilitza amb el botó «View source».

Exercicis DVWA:

Ajusta el nivell de seguretat del DVWA a «Low» (menú «DVWA Security»).
Realitza els exercicis de SQL injection d'aquesta web (no cal que arribis a la part de John The Ripper):
- https://ethicalhackneox.wordpress.com/2015/10/13/sql-injection-dvwa-tarea-5/
Puja el nivell de seguretat de la web a «Medium» i compara el codi del formulari del SQL injection. Quines diferències hi veus?
Compara també amb els nivells de seguretat «High» i «Impossible». Descriu en què consisteixen els canvis aplicats al codi i la seva repercussió en termes de vulnerabilitat.
Utilitza ara el formulari SQL Injection (blind).
- Quina diferència hi ha amb l'anterior?
- Creus que és menys perillós? Perquè?

Proves de seguretat amb BURP Suite

Pots seguir en l'article Proves de seguretat on aprendràs com fer proves de penetració automatitzades (escanejos de vulnerabilitats) i informes d'aplicacions web que vulguem analitzar.