Open source sql - Баги - Каталог файлов

Open source sql

	07.02.2010, 20:59
Есть на некоторых сайтах интересная уязвимость типа открытого доступа к sql базе. Пример сайта www.somesite.com/sql Набираес адресс сайта, ставим в конце /sql И перед нам окошко терминала sql А что мы можем сделать теперь? Если БД принадлежит админу, то мы хозяины этого сайта. А если принадлежит кому-то другому но с возможностями редактировать разделы сайта, то это тоже хорошо. И так, чтобы просмотреть какие таблицы размещены на сайте в окошку терминала вводим SHOW TABLES; и жмём кнопку execute. Должны внизу появится таблицы сайта. Например: cats forum_messages forums news static users Каждая из таблиц отвечает за свой раздел на сайте. Остановимся на такой таблице как users Думаю вам понятно что это. И так, в окне терминала вводим SELECT * FROM users; И получаем их логины и пароли. Если там будет ещё и админский пароль... то власть над сайтом обеспечена. Ладно. Не получили мы админского пароля допустим. Но хочется чего-то поламать. Допустим удалить содержимое таблиц (оно же удаление инфы с сайта). Пишем DROP TABLE table_name; Где table_name - это имя таблицы. А если хочется снести саму БД? Тогда пишем DROP DATABASE database_name; Где database_name - это имя БД. Если вы не знаете имя БД то увидеть его можно чуть выше самого терминала. Там что-то вроде списочка есть и там пишется в какой БД вы работаете. НО! Чтобы удалить БД или таблицы у вас должны быть на том прова (это в том случае если вы не под админской БД). Что ж, прова у нас на это есть и БД пришел конец. Ну а если мы не хотит удалять? Просто подредактировать что-то? Например имя пользователя или что-то ещё. Тогда: UPDATE staff SET works_since = "2000-04-26" sallary = "$200" project = "Secret data" Где staff - имя таблицы; works_since, sallary, project - названия столбцов в таблице (на разных сайтах свои насзвания столбцов и таблиц). В каычках - это значения которые там записаны. Просто поменяёте их на свои значения. Теперь нажмите execute. Всё должно получится.
1 2 3 4 5 Категория: Баги \| Добавил: Z1oDeu
Просмотров: 648 \| Загрузок: 0 \| Рейтинг: 0.0/0

Всего комментариев: 0

Добавлять комментарии могут только зарегистрированные пользователи.
[ Регистрация | Вход ]