Inyecciones SQL
DISEÑO DE UN ATAQUE INFORMÁTICO BACKDOOR – INYECCIONES
SQL HACIA LOS ENTORNOS WEB
Este proyecto se basara en la protección de una pagina web creada desde cero, ya que se ha observado muchas falencias concernientes a la seguridad, aspecto que se ha tenido en cuenta y se ha decidido realizar un proceso de auditoria basándose en la metodología OWASP (Open Web Application Security Project o Proyecto de seguridad de aplicaciones web abiertas) y en el hacking ético, es decir en la realización de cada uno de los pasos para llevar a cabo un ataque informático, pero yendo al apartado de la búsqueda de vulnerabilidades que serán reportadas para ser luego ser mejoradas a partir de la implementación de controles, mitigando y/o tratando los riesgos identificados.
OBJETIVOS
Objetivo general
Diseñar una simulación de un ataque
Backdoor para la divulgación de la seguridad informática dentro de un entorno
controlado para concientizar a los
usuarios finales sobre las múltiples formas en que su información personal
puede ser comprometida empleando la metodología OWASP
Objetivos
específicos
· Analizar
las vulnerabilidades que se encuentran en el servidor online, como base para
comenzar el proceso de auditoria de acuerdo a la metodología OWASP
· Efectuar un ataque informático BackDoor dentro
del entorno controlado, observando sus efectos y tomar como base la realización
de un análisis de riesgos, con la intención de proponer y establecer
contramedidas que permitan una mejora en la seguridad de la página web
· Demostrar
al usuario las múltiples formas en que su información puede ser comprometida
por la ejecución de un ataque informático de Puerta Trasera y, mediante la exposición
de la simulación, se pueda posibilitar la divulgación
de la seguridad informática
Por lo que a continuación se
muestra el paso a paso del proceso de pruebas de penetración o hacking ético
basándose en el ataque de inyecciones SQL, descubriendo las fallas de seguridad
del servidor y desarrollando las medidas que permitan la mejora continua en la
seguridad de la página.
La página a la que se va a auditar
tiene el nombre de UCC Store, pudiéndose acceder a partir del siguiente enlace:
https://www.redesoft.com.co/uccstore/
Se tiene que decir que este proceso
es meramente educativo o pedagógico, por ende, ninguno de los integrantes se
hará responsable si se utiliza esta información para afectar o comprometer la
información de alguna persona o negocio, por diferentes motivos.
Se utilizará el software de Vega y
SQLMap para realizar la auditoria y realizar el ataque de inyecciones SQL:
Una vez que se posee el nombre de
la pagina web a atacar, se tiene que seleccionar la función de “botón rojo”,
luego en el apartado de Scan Target, se digita la URL de la pagina web:
Se solicitará la selección del
modulo al cual se desea realizar el escaneo:
En este apartado se encontrará una
serie de vulnerabilidades comunes, la cual el software será el encargado de evaluar
estos parámetros:
Se finalizará el proceso, comenzado
el escaneo y mostrando consecuentemente, los resultados:
Cuando el escaneo termine, se
mostrará un apartado en donde se clasifica o se categoriza las vulnerabilidades
encontradas por colores, desde el estado máximo Alto, hasta el mas mínimo,
Bajo.
Hay que desplazarse al apartado de las inyecciones SQL, recalcando una vez mas que es el ataque con que se va a trabajar:
Cuando se seleccione el enlace que
se encuentra en la sección inferior a los resultados de REQUEST, se direccionará
al apartado que se muestra, siendo este un panel donde se vera la información a
utilizar con SQLMap.
Luego, hay que desplazarse o abrir
la aplicación del CMD, digitando la ruta donde se tenga instalado el SQLMap, en
este caso: C:\Users\jhonn\OneDrive\Documentos\Gato\tools\sqlmap\. De
esta manera, se abrirá la aplicación de SQLMap, posteriormente, para realizar
este ataque se tienen que digitar en primer lugar sqlmap.py, seguido de los
siguientes parámetros:
·
-u: La URL o enlace a atacar, debiendo ser la misma
página que se muestra en Vega; la página vulnerable
·
–method POST: El método de envió de las instrucción, la otra forma
es el método GET. En ese sentido, el método GET lleva las instrucciones o datos
de forma “visible” al sitio web. Luego se tiene el método POST, el cual,
consiste en el envío de datos ocultos enviados hacia al sitio web, siendo que puede
ser que el administrador no se dé cuenta del ataque.
·
–data: Son aquellas instrucciones que se piensan inyectar,
los datos que se piensan enviar, con el propósito de afectar el sitio web
·
–p: “ID”
·
–level-5 y
–risk-3: Son los parámetros que se colocan
para que el programa entienda el nivel de profundidad del ataque y su riesgo, afectando
aún más la página web.
·
–dbs: Es el parámetro indicado para poder mostrar la base
de datos que está conectada a la página web.
Para esta situación, se muestran 6
bases datos, en este sentido, la base de datos que importa, la que esta
conectada a la página web es redeso_UCC_Store, esto se puede saber
lógicamente ya que posee el mismo nombre de la pagina web.
Para esto, se debe desplazar
nuevamente al CMD y digitar un comando especializado que muestre las tablas de
la base de datos redeso_UCC_Store, siendo el siguiente comando:
sqlmap.py -u
"https://www.redesoft.com.co/uccstore/Controlador/consultar_pro.php"
--method POST --data "ID=1-0&Consultar=Consultar" -p
"ID" --level=5 --risk=3 -D redeso_UCC_Store --tables
De esta manera, mostrara las tablas que se encuentren en la base de datos redeso_UCC_Store:
El siguiente paso será exportar las
tablas encontradas; se accede nuevamente al CMD, colocándose el comando
especializado que permite la exportación de la base de datos de la siguiente
manera:
sqlmap.py -u
"https://www.redesoft.com.co/uccstore/Controlador/consultar_pro.php"
--method POST --data "ID=1-0&Consultar=Consultar" -p
"ID" --level=5 --risk=3 -D redeso_UCC_Store –dump
Como se puede visualizar y
entender, el parámetro -dump indica la exportación de las tablas
consultadas.
Se inicia el proceso de exportación y esto quedara guardado o almacenado en el directorio donde se encuentra instalado el SQLMap:
Se muestran los registros de la
tabla de usuarios:
Hay que recalcar que por medio de esta herramienta y por medio de la exportación, se podrán decodificar las contraseñas de cada usuario puesto en MD5, afectando considerablemente la integridad de la información de los usuarios y del propio servidor, siendo una vulnerabilidad que debe ser obligatoriamente tratada y el riesgo de la perdida de información debe ser tratado. No obstante, aun si no se poseen las contraseñas, se posee la información restante y por medio de ingeniería social, se podría acceder a más de alguna cuenta, ya sea cliente o administrador.
Asimismo, se observarán los
registros de las demás tablas al momento de realizar el proceso de exportación:
En este orden, se podrá ver por ejemplo en el archivo de usuarios, lo siguientes
CONCLUSIONES
A manera de conclusión sabiendo que un exploit busca las vulnerabilidades en el sistema, así que cuanto más controlado este, menos probabilidades de ataques habrá, debido a que no solo los hackers de sombrero negro se especializan en la explotación de vulnerabilidades para posibilitar una amenaza.
Reducir el alcance de los exploits puede
salvar la información o el equipo. De esta forma, cuantos más elementos de
seguridad haya, mayores dificultades tendrá el exploit para propagarse.
Trabajar con múltiples contraseñas o utilizar una sesión con privilegios
limitados son algunas de cosas que puedes hacer para mejorar tu seguridad.
De la misma manera, una correcta
configuración de los sistemas de seguridad integrados es fundamental,
incrementando la seguridad del firewall, manteniendo y actualizaciones o
instalando soluciones completas de antivirus y antimalware.
Todos estos elementos ayudarán a mantener
todo de manera correcta, pero recordando siempre que la mejor herramienta para
evitar el acceso de software malintencionado será nuestro sentido común para
evitar cualquier intrusión.
REFERENCIAS
Bibliografía
Webgrafía
Avast. (Octubre 2016). Inyección SQL. Avast Recuperado de https://www.avast.com/es-es/c-sql-injection
Avast. (s.f.). Malware & Antimalware. Avast Recuperado de https://www.avast.com/es-es/c-malware
Bernardo Quintero. (Marzo 2011). Lección 6: Malware. Intypedia Recuperado de http://www.criptored.upm.es/intypedia/docs/es/video6/DiapositivasIntypedia006.pdf
Flores, J., Guarda, T., & Molina, L. (2019). Seguridad informática en el uso de los nuevos equipos tecnológicos. Revista Ibérica De Sistemas y Tecnologías De Información, 32-38. Recuperado de https://bbibliograficas.ucc.edu.co:2149/docview/2195127773?accountid=44394
Graciela Marker. (Junio 2020). ¿Qué es un Cracker?. Tecnología + Información Recuperado de https://www.tecnologia-informatica.com/que-es-un-cracker/
Gustavo B. . (Mayo 2019). ¿Qué es MySQL?. Hostinger Tutoriales Recuperado de https://www.hostinger.co/tutoriales/que-es-mysql/#Que-es-MySQL
Miguel Sánchez. (Marzo 2015). Métodos para la instalación de una puerta trasera (backdoor) en un sistema. Negocios bajo control Recuperado de https://technologyincontrol2.wordpress.com/2015/03/16/metodos-para-la-instalacion-de-una-puerta-trasera-backdoor-en-un-sistema/
Comentarios
Publicar un comentario