SQL Site Nasıl Bulunur ? Nasıl Hacklenir ?
SQL Açıklı Site Nasıl Bulurum ? # SQL açığı olan bir sayfa bulabilmemiz için bize bir dork lazım bu dorku Google amcadan bulabiliriz.
Örnek bir Dork: inurl:galery.php?id=
Örnek bir Dork: inurl:index.php?id=.
-------------------------------------------------------------------------------------------------
SQL Hatalı Olduğunu Nerden Anlarım ?
# Evet Googledan dorkumuzu arattık sayfalar çıktı başlıyoruz sayfaları gezmeye gezdiğimiz sayfalarda
# URLnin sonunda php?id=45 veya daha farklı bir sayı yazar bu sayıların sonuna tırnak işareti () koyuyoruz.
# Örnek: http://www.örneksite.com/php?id=120 site bu sitede id değerimiz gördüğünüz gibi 220 id değerinin sonuna işaretimizi koyuyoruz ve Enterlıyoruz.
http://www.örneksite.com/php?id=120'
-------------------------------------------------------------------------------------------------
SQL Açığını Nasıl Kullanabiliriz ?
# SQL açığını bulduktan sonra sıra geldi İnjection yapamaya İnjectionu 2 türlü yapabiliriz.
1. Havij ve benzeri programlar ile
2. Manuel olarak
Manuel SQl inj Havijin yaptığı elle yapılanıdır.
-------------------------------------------------------------------------------------------------
Manuel olarak SQL İnjection Nasıl Yapılır ?
# Evet sitemizde kolon sayısını bulacağız bunun için ordey+by+ veya group+by+ komutunu kullanacağız
http://www.örneksite.com/php?id=120+order+by+100 bu yüz sayısını misal veriyorum.
Bu sayıyı gittikçe azaltıcağız.Taa ki hatamız gidene kadar.
http://www.örneksite.com/php?id=120+order+by+95
http://www.örneksite.com/php?id=120+order+by+45
http://www.örneksite.com/php?id=120+order+by+7
evet diyelimki 7 de hatamız gitti yani kolon sayımız 7dir.
Şimdi Kolonları ekrana yansıtmaya geldi sır****olon sayımız 7idi.
Bunun için union+select+... kodumuzu kullanacağız.
http://www.örneksite.com/php?id=120+...+0,1,2,3,4,5,6
yazıyoruz.Kolon sayımız 7 olduğu için 7ye kadar yazıyoruz.
Evet diyelimki 1 ve 5 kolonları yansıdı ekrana.
Not: Unutmadan bir notda geçelim eğer kolonlar ekrana yansımaz ise URLmizin sonuna -- ifadesini eklemeliyiz.
*****************************************************************
Yapılan Her Türlü İşten Sorumlu Değilimdir . Bunu Bilerek Yapmanızı İstiyorum
*****************************************************************