SQL Injection - Umgehen der Anmeldung: Unterschied zwischen den Versionen

Aus xinux.net
Zur Navigation springen Zur Suche springen
Zeile 15: Zeile 15:
  
 
[[Datei:Mutillidae-01.png]]
 
[[Datei:Mutillidae-01.png]]
 +
 +
==
 +
  
 
*Eingabe im Namensfeld:
 
*Eingabe im Namensfeld:

Version vom 15. Juni 2021, 07:46 Uhr

Voraussetzung

  • Security level: 0

Ziel

  • Oft sind Anmeldungen datenbankbasiert.
  • Test der Anmeldeseite auf Möglichkeiten der Informationsgewinnung.
  • Test der Anmeldeseite auf Möglichkeiten der Manipulation.

Aufruf der Anmeldemaske

  • OWASP 2017 -> A1 Injection (SQL) -> SQLi Bypass Authentication -> Login

Informationen sammeln - Versuch einen Fehler zu generieren

  • Eingabe eines einzelnen Anführungszeichens in Eingabefeld Username.
  • Ein einzelnes Anführungszeichen ist bei Datenbanken ein spezielles Zeichen.

Mutillidae-01.png

==


  • Eingabe im Namensfeld:
' or 1=1-- -


Mutillidae-02.png

  • Nach Anklicken des Buttons Login ist man als Benutzer admin angemeldet.
Abgerufen von „https://xinux.net/index.php?title=SQL_Injection_-_Umgehen_der_Anmeldung&oldid=23954“