SQL injection ရျပီ !!! ဘာဆက္လုပ္မွာလည္း ? [Article]

xtrm

xtrm

VIP Member

စုစုပေါင်းရေးသားချက်များ : 53
မှတ်ပုံတင်သောနေ့ : 2009-10-24
ကျေးဇူးတင်ခံရမှု : 36
ဖိုရမ် အကျိုးဆောင် ရမှတ် : 91
သတိပေးခံရမှု : သတိပေးခံရမှု မရှိသေးပါ

က်ေနာ္ TuT ေရးမွာမဟုတ္ပါဘူး။ TuT လို႕ထင္လို႕ ၾကည့္တာဆိုရင္ ဒီမွာတင္ရပ္လို႕ရပါျပီ။
Security ကို ေလ့လာတယ့္ လူေတြရွိတယ္။ တစ္ခ်ိဳ႕က hacker ျဖစ္ခ်င္လို႕။ လြန္ခဲ့တယ့္ ႏွစ္ပိုင္းကတည္းက online community ေတြက Basic TuT ေတြဖတ္ျပီး လိုက္လုပ္ၾကည့္၊ ရသြားရင္ အဲေလာက္နဲ႕ေက်နပ္ျပီး TuT ေနာက္တစ္ခုထပ္ရွာ လိုက္လုပ္ၾကည့္နဲ႕ လည္ပတ္ေနတယ့္ သူေတြရွိပါတယ္။ Knowledge ပိုင္းမွာ အတိုင္းအတာ တစ္ခုထိ ေကာင္းေပမယ့္ Knowledge ေတြကို ဘယ္လို လက္ေတြ႕မွာ Apply ျပန္လုပ္ၾကသလည္းဆိုတာမ်ိဳး၊ ကိုယ့္ဦးေႏွာက္နဲ႕ကို ဆက္လုပ္ဆိုတာမ်ိဳးၾကရင္ အင္ အယ္ ျဖစ္ကုန္တတ္ၾကတယ္။

က်ေနာ္တို႕ ဒီမွာ TuT ေတြကိုပဲျဖစ္ျဖစ္ တစ္ခုခု စမ္းၾကည့္လို႕ရသြားရင္ ေရွ႕ကို ဘာဆက္လုပ္ၾကမလည္းဆိုတာမ်ိဳးေလး စဥ္းစားၾကည့္ၾကရေအာင္။

က်ေနာ္ လြန္ခဲ့တယ့္ သုံးပတ္ေလာက္က online မွာၾကဳံခဲ့တာေလးတစ္ခုကို အေျခခံျပီး ေျပာခ်င္ပါတယ္။ က်ေနာ္နဲ႕ သိတာ ေတာ္ေတာ္ၾကာျပီျဖစ္တယ့္ ညီတစ္ေယာက္က က်ေနာ့ကို URL တစ္ခုလာ paste လုပ္ျပတယ္။
customer_testimonials.php?testimonial_id ဆိုျပီးျမင္ေတာ့ က်ေနာ္သိလိုက္ပါတယ္။ milw0rm က OsCommerce component flaw ၾကီးဆိုတာ။ ( ၾကည့္ခ်င္ရင္ ၾကည့္ဖို႕ milw0rm exploit ID 5057 ပါ) OsCommerce ရဲ့ component တစ္ခုက Sql injection flaw ျဖစ္ေနတာပါ။ Customer tables က Customer ID ၊ Email ၊ Password အစရွိသျဖင့္ ဆြဲၾကည့္လို႕ရပါတယ္။ ဒါေပမယ့္ Password က MD5 hash အေနနဲ႕ ျပတာပါ။

ဘာေျပာေနပါလိမ့္လို႕ ထင္မယ့္ သူေတြအတြက္ပါ။
[You must be registered and logged in to see this link.] Google မွာ inurl:"customer_testimonials.php" လို႕ရွာ ေတြ႕တယ့္ထဲက တစ္ခုကို ဖြင့္လိုက္။ customer_testimonials.php ဆိုတယ့္ ေနရာကေနစလို႕customer_testimonials.php?testimonial_id=99999+union+select+1,2,concat(customers_lastname,0x3a,customers_password,0x3a,customers_email_address),4,5,6,7,8+from+customers/*
လို႕ replace လုပ္လိုက္။ /* နဲ႕မရရင္ -- နဲ႕ အဆုံးသပ္ပါ။ ဒါဆို Page မွာ Customer last name, password , email address ေတြျပလိမ့္မယ္

သူက က်ေနာ့ကို အဲဒီလို page ေလးတစ္ခုလာျပတယ္။ သူ hack လိုက္ျပီတယ့္။ က်ေနာ္သူ႕ကို ႐ိုး႐ိုးေလးျပန္ေမးမိတာပါ။ ဘာဆက္လုပ္လို႕ရလည္း လို႕။ ဒီ username ၊ MD5 hash password ၾကီးေတြကေန ဘာဆက္လုပ္မွာလည္းလို႕ ။ သူ 'အင္' ဆိုျပီး ရပ္သြားတာ၊ ခုထိ က်ေနာ္ကို စကားျပန္မေျပာေသးဘူး။ မခ်ီးက်ဴးပဲ ဘုေျပာလိုက္သလိုျဖစ္သြားသလား၊ ဒါမွမဟုတ္ က်ေနာ္ေမးလိုက္တာကို ေျဖဖို႕ သူၾကိဳးစားေနသလား က်ေနာ္မသိပါဘူး။

ကဲ က်ေနာ္အေပၚမွာ milw0rm ကဟာေရာ ဘယ္လိုလုပ္လည္းဆိုတာေလးပါေျပာထားတယ္။ အဲမွာ password hash ေတြၾကည့္ျပီး ပီတိမျဖစ္ပါနဲ႕။ အဲဒါေတြကို ဘယ္လို အသုံးခ်မလည္း စဥ္းစားျပီး
ဒီေနရာမွာ ေဆြးေႏြးၾက ျငင္းၾကရေအာင္။ ဆက္လုပ္လို႕ရတာေတြ အမ်ားၾကီးပါ။
ဆရာေတြအတြက္မဟုတ္ပါဘူး၊ ေလ့လာတုန္းလူေတြ စဥ္းစားဖို႕ေပးတာပါ။

1st December 2009, 6:09 pm by **sHa92** · 1st December 2009, 6:09 pm by **sHa92**

ဘာဆက္လုပ္မွာလဲ။
ဘယ္သူမွလဲမေၿဖၾကဘူး။
ကိုေနေဇာ္တုိ႔ ေၿဖၾကပါဦးလား။
တၿခား ကြ်မ္းက်င္တဲ့သူေတြလည္း ဖိုရမ္မွာ အမ်ားၾကီးေတြ႔ဖူးပါတယ္။
လုပ္ၾကဦးေလ။

1st December 2009, 9:29 pm by **xtrm** · 1st December 2009, 9:29 pm by **xtrm**

အဲလိုၾကီးက် က်ေနာ္ကပဲ ပညာလာစမ္းသလိုလိုျဖစ္ေနျပီ $ƴǩǾ Smile

က်ေနာ္က security professional မဟုတ္ပါဘူး။ အထူးသျဖင့္ web security ၊ က်ေနာ့အလုပ္နဲ႕ တျခားစီ။

sp1der ရဲ့ Security team thread က ဒီ post ကိုေရးဖို႕ စိတ္ကူးရသြားတာ။ Offensive security၊ အထူးသျဖင့္ Web security စိတ္ဝင္စားတယ့္သူေတြ ကိုယ့္မွာ ဘယ္ေလာက္ knowledge ရွိလည္း self-test လုပ္ဖို႕ပါ။ အဓိကက အဲ knowledge ကို ဘယ္လို ၊ ဘယ္ေလာက္ apply ျပန္လုပ္ႏိုင္လည္း၊ ဘယ္ေလာက္ စိတ္ကူးရွိႏိုင္မလည္း စမ္းဖို႕ေပးတာပါ။ ဒီကရတယ့္ information ကေန ဘာေတြ လုပ္လို႕ရမလည္း၊ ဘာအတြက္လည္း၊ ဘယ္လိုလုပ္ရင္ ရႏိုင္မလည္း စဥ္းစားၾကည့္႐ံုေပါ့ဗ်ာ၊ လုပ္ျပခိုင္းတာမွမဟုတ္တာ။ ကိုယ္စီ ကိုယ္စီ စဥ္းစားမိသေလာက္ေျပာၾကရင္ေတာင္ အားလုံးအတြက္လည္း အၾကိဳးရွိမယ္ထင္တယ္။ အခ်င္းခ်င္း idea share တာေပါ့။ မွားရင္ ဆရာေတြျပင္ေပးလိမ့္မယ္။ ( က်ေနာ္ေတာ့ မပါဘူး)
sp1der တို႕ nay@zaw တို႕ အတြက္လည္း Team အတြက္အကဲခတ္စရာရမလားလို႕ Wink

TuT ေတြရွာဖတ္၊ လိုက္လုပ္ၾကည့္ရုံထက္ ဉာဏ္ကြန္႕ၾကည့္ဖို႕ တိုက္တြန္းခ်င္ရုံသက္သက္ပါ။

Last edited by xtrm on 2nd December 2009, 9:58 pm; edited 1 time in total

2nd December 2009, 2:13 pm by **sp1der** · 2nd December 2009, 2:13 pm by **sp1der**

security team မွာပါ၀င္ခ်င္တဲ့သူေတြကို အရင္ေျဖေစခ်င္ပါတယ္။ [You must be registered and logged in to see this image.]
google ကေနရွာၿပီး ေျဖလည္းရတယ္။
မွားမွာ မစိုးရိမ္နဲ႔ ကိုယ္ထင္တဲ့အတိုင္းေျဖနုိင္တယ္။
မွား ဖူးမွ အမွန္ကို သိနိုင္တာမလား??
(ဆရာႀကီးေလသံနဲ႔ Razz

)

3rd December 2009, 6:42 pm by kyawmin · 3rd December 2009, 6:42 pm by kyawmin

ကြ်န္ေတာ္ကေတာ႔ သိဘူးဗ် Very Happy

။ စာအမ်ားၾကီးဖတ္ရအုံးမယ္ဗ်ာ Sad

။

4th December 2009, 4:13 pm by **C0D3R** · 4th December 2009, 4:13 pm by **C0D3R**

ဒါေပမယ့္ Password က MD5 hash အေနနဲ႕ ျပတာပါ။

အကယ္ရွ္ MD5 သာရမယ္ဆိုရင္ အင္တာနက္မွာလည္းေျပာင္းလို႔ရတဲ႔ဆိုက္ေတြရွိပါတယ္

ျပီးေတာ႔ Cain and Able သံုးျပီးေတာ႔လည္းရွာလို႔ရပါတယ္

5th December 2009, 5:45 pm by **sHa92** · 5th December 2009, 5:45 pm by **sHa92**

xtrm wrote:အဲလိုၾကီးက် က်ေနာ္ကပဲ ပညာလာစမ္းသလိုလိုျဖစ္ေနျပီ $ƴǩǾ

အယ္။ အစ္ကိုက ပညာ စမ္းတယ္လို႔ က်ေနာ္ေၿပာပါဘူး။ နားလည္မႈလြဲသြားတယ္ ထင္ပါ၇ဲ႕။ က်ေနာ္ စကား အေၿပာအဆုိမတတ္လုိ႔ပါ။ ခြင့္လႊတ္ပါ။

ဘယ္သူကမွလည္း အခုထိမေၿဖၾကဘူးေနာ္။
ကို sp1der က `မွားမွာ မစိုးရိမ္နဲ႔ ကိုယ္ထင္တဲ့အတိုင္းေျဖနုိင္တယ္။´ ဆုိလုိ႔ က်ေနာ္ စဥ္းစားမိသလို ေၿဖလိုက္ၿပီ။
မွားရင္လည္း မတတ္ႏုိင္ဘူး။
ကိုယ္တုိင္က Hacking ဆုိတာ ဘာမွန္းေတာင္ သိတာမဟုတ္ဘူး။ ဥာဏ္ကလည္း မေကာင္းေတာ့ ပိုဆုိးတယ္။ Sad

ေမးခြန္းမွာက SQL Injection ရရင္လုိ႔ ေၿပာတယ္ေနာ္။ ဘယ္လိုရရင္ကို ေၿပာတာလဲဗ်...
ကုိယ္တုိင္ test လုိ႔ vulnerable ၿဖစ္တယ္ဆုိတာကို ရွာလို႔ေတြ႔ရင္လား။
ကုိယ္တုိင္ရွာလို႔ေတြ႔ရင္ေတာ့ အရင္ဆုံး Inject လုပ္ရမယ္ေလ။ ဟုတ္တယ္မွလား..
ၿပီးရင္ Database ထဲကေန လုိခ်င္တာေတြ ယူၾကမွာေပါ့။ ဟုတ္ဘူးလား..
Database ထဲက အက္ဒမင္ Pw ေတြလည္း ေၿပာင္းပစ္လိုက္လို႔ ရတယ္ေလ။
တၿခားေတာ့ ဘာဆက္လုပ္လို႔ရေသးလဲ မေၿပာတတ္။

5th December 2009, 11:53 pm by **xtrm** · 5th December 2009, 11:53 pm by **xtrm**

$ƴǩǾ wrote:
ေမးခြန္းမွာက SQL Injection ရရင္လုိ႔ ေၿပာတယ္ေနာ္။ ဘယ္လိုရရင္ကို ေၿပာတာလဲဗ်...

SQLi ရရင္လို႕မေျပာပါဘူးဗ်ာ။ SQLi တိုင္းမွာ ဘာလုပ္လို႕ရလည္းဆိုတယ့္ အေနအထားက မတူႏိုင္ဘူး။ Site တစ္ခုလုံး box တစ္ခုလုံး owning ျဖစ္ႏိုင္သလို၊ ေတာင္ၾကည့္ေျမာက္ၾကည့္ေလာက္ပဲ ရတာလည္းျဖစ္ရင္ျဖစ္မယ္ဗ်ာ။ Database ဆိုတာ web application မွာပဲသုံးတာမဟုတ္ေတာ့ SQLi ဆိုတာ website ေတြမွာပဲရွိတာမဟုတ္ဖူးဗ်။ အဲေတာ့ SQLi ရရင္ ဘာဆက္လုပ္မလည္းေမးရင္ အက်ယ္ၾကီးျဖစ္သြားမယ္ထင္တယ္။ အဲဒါေၾကာင့္ sample situation တစ္ခုျပထားျပီး စဥ္းစားဖို႕ေပးတာပါ။ 'ဘယ္လိုရရင္' ဆိုတာ က်ေနာ္ေပးထားျပီးသားပါ။ ျပန္ဖတ္ရင္ေတြ႕ပါလိမ့္မယ္။ [You must be registered and logged in to see this image.]

6th December 2009, 10:43 am by **sp1der** · 6th December 2009, 10:43 am by **sp1der**

kyawmin wrote:ကြ်န္ေတာ္ကေတာ႔ သိဘူးဗ် ။ စာအမ်ားၾကီးဖတ္ရအုံးမယ္ဗ်ာ ။

သိသေလာက္ေျပာပါဆိုမွ မသိဘူးဘဲေျဖေနတယ္။ [You must be registered and logged in to see this image.]
စာမဖတ္ရေသးလည္း မွန္မယ္ထင္တာကို ၀င္ေျပာလို႔ရပါတယ္။
သူမ်ားေျပာထားတာေတြဖတ္ၿပီးလည္း ေ၀ဖန္ေပးလို႔ရတယ္ေနာ္...။
(ေ၀ဖန္ျခင္းသည္ တိုးတက္ေစလိုျခင္းသာ ကဲ့ရဲ႔ျခင္းမဟုတ္ပါ)။

7th December 2009, 9:59 pm by kyawmin · 7th December 2009, 9:59 pm by kyawmin

sp1der wrote:

kyawmin wrote:ကြ်န္ေတာ္ကေတာ႔ သိဘူးဗ် ။ စာအမ်ားၾကီးဖတ္ရအုံးမယ္ဗ်ာ ။

သိသေလာက္ေျပာပါဆိုမွ မသိဘူးဘဲေျဖေနတယ္။ [You must be registered and logged in to see this image.]
စာမဖတ္ရေသးလည္း မွန္မယ္ထင္တာကို ၀င္ေျပာလို႔ရပါတယ္။
သူမ်ားေျပာထားတာေတြဖတ္ၿပီးလည္း ေ၀ဖန္ေပးလို႔ရတယ္ေနာ္...။
(ေ၀ဖန္ျခင္းသည္ တိုးတက္ေစလိုျခင္းသာ ကဲ့ရဲ႔ျခင္းမဟုတ္ပါ)။

bro ကလဲ ၊ တစ္ကယ္မသိလုိ႔ပါဗ် ။ ကြ်န္ေတာ္သိတာလဲ အေပၚကအစ္ကုိေတြေျပာသေလာက္ပဲ သိတာပါ ၊ ဒီထက္လဲပုိမသိပါဘူး ။ အဲဒါေၾကာင္႔မသိဘူးလုိ႔ေျပာတာပါ ။ စိတ္မဆုိးပါနဲ႔ဗ် ။
reply အခုမွျပန္ျဖစ္တာက ကြ်န္ေတာ္သိပ္မအားလုိ႔ပါ ။

9th December 2009, 3:40 pm by **sHa92** · 9th December 2009, 3:40 pm by **sHa92**

xtrm wrote:

$ƴǩǾ wrote:
ေမးခြန္းမွာက SQL Injection ရရင္လုိ႔ ေၿပာတယ္ေနာ္။ ဘယ္လိုရရင္ကို ေၿပာတာလဲဗ်...

SQLi ရရင္လို႕မေျပာပါဘူးဗ်ာ။ SQLi တိုင္းမွာ ဘာလုပ္လို႕ရလည္းဆိုတယ့္ အေနအထားက မတူႏိုင္ဘူး။ Site တစ္ခုလုံး box တစ္ခုလုံး owning ျဖစ္ႏိုင္သလို၊ ေတာင္ၾကည့္ေျမာက္ၾကည့္ေလာက္ပဲ ရတာလည္းျဖစ္ရင္ျဖစ္မယ္ဗ်ာ။ Database ဆိုတာ web application မွာပဲသုံးတာမဟုတ္ေတာ့ SQLi ဆိုတာ website ေတြမွာပဲရွိတာမဟုတ္ဖူးဗ်။ အဲေတာ့ SQLi ရရင္ ဘာဆက္လုပ္မလည္းေမးရင္ အက်ယ္ၾကီးျဖစ္သြားမယ္ထင္တယ္။ အဲဒါေၾကာင့္ sample situation တစ္ခုျပထားျပီး စဥ္းစားဖို႕ေပးတာပါ။ 'ဘယ္လိုရရင္' ဆိုတာ က်ေနာ္ေပးထားျပီးသားပါ။ ျပန္ဖတ္ရင္ေတြ႕ပါလိမ့္မယ္။ [You must be registered and logged in to see this image.]

သိေတာ့ဘူး သိေတာ့ဘူး။ [You must be registered and logged in to see this image.]
နဂုိကမွ မတိပါဘူးခ်ိဳ။ တကယ္သိတဲ့သူေတြက ၿငိမ္ေနလို႔ တားက ၀င္ေၿပာၾကည့္တာကိုး။
ေနာက္ကို မတိရင္ မေၾကာေတာ့၀ူး။
ေခါင္းခံရတယ္ ၊ ကိုယ္မသိတာ လူသိတယ္။ ေနာက္ဆုိ ေၿဖဘူး။ လာေမးနဲ႔။ Razz

စတာေနာ္။ ေနာက္လည္း အဲလို စဥ္းစားရမယ့္ ေမးခြန္းေကာင္းေလးေတြ မ်ားမ်ားေမးေပး၊ က်ေနာ္ေတာ့ ေၿဖေတာ့ဘူး။ သူမ်ားေတြ ေၿဖလိမ့္မယ္။

9th December 2009, 3:54 pm by **z3r0c00l** · 9th December 2009, 3:54 pm by **z3r0c00l**

တစ္ခြန္းထဲ ျပတ္ျပတ္သားသားေျဖလိုက္မယ္ မသိဘူးဗ်ာ။ Very Happy

ေတာင္ၾကည့္ေျမာက္ၾကည့္ေလာက္ပဲရရင္ေတာ့ ဘာမွလုပ္လို႔မရဘူးေပါ့။
အကယ္၍မ်ား AWB Bank လိုမ်ိဳး Online Banking ေနာက္တစ္ခုေပၚလာခဲ့ရင္ ၊ သူတို႔ကလဲ Money Transfer Data ေတြကို Sql နဲ႕ပဲသိမ္းမယ္ဆိုရင္ ေတာ့ Sql Injection ရၿပီဆိုရင္ .......................................(ဒန္ တန္႔ တန္)
Very Happy

(မွားဖူးမွအမွန္သိမယ္ဆို၍ မွားဖူးေအာင္ မသိပဲရႊီးၾကည့္ျခင္းျဖစ္ပါသည္။)

9th December 2009, 4:52 pm by **nay@zaw** · 9th December 2009, 4:52 pm by **nay@zaw**

ေတာင္းေၿမာင္းၾကည့္လို႔တင္ မဟုတ္ဘူ root pw ထိေတာင္ ယူလို႔ရပါတယ္ Smile

အမ်ိဳး အစားေတြ အမ်ားၾကီးရွိပါတယ္ ။ shell upload ေတြတင္လုိ႔ရတယ္ ။ sever information ေတြ ယူလို႔ရတယ္ ။
လုပ္နုိင္တာေတြ အမ်ားၾကီးပါ ။

10th December 2009, 7:51 am by **z3r0c00l** · 10th December 2009, 7:51 am by **z3r0c00l**

nay@zaw wrote:ေတာင္းေၿမာင္းၾကည့္လို႔တင္ မဟုတ္ဘူ root pw ထိေတာင္ ယူလို႔ရပါတယ္ အမ်ိဳး အစားေတြ အမ်ားၾကီးရွိပါတယ္ ။ shell upload ေတြတင္လုိ႔ရတယ္ ။ sever information ေတြ ယူလို႔ရတယ္ ။
လုပ္နုိင္တာေတြ အမ်ားၾကီးပါ ။

အဲဒီလို တိုတိုတုတ္တုတ္ မေျဖနဲ႕ေလကိုေနဇာ္ရဲ႕။ Photo ေတြဘာေတြနဲ႕ Tut ေလးေရးၿပီး ရွည္ရွည္ေ၀းေ၀း ေလေျဖေပးေလ။ ဒါမွ ေသေသခ်ာခ်ာသိမွာေပါ့။
ဟုတ္ဘူးလား Very Happy

10th December 2009, 1:07 pm by **nay@zaw** · 10th December 2009, 1:07 pm by **nay@zaw**

z3r0c00l wrote:

nay@zaw wrote:ေတာင္းေၿမာင္းၾကည့္လို႔တင္ မဟုတ္ဘူ root pw ထိေတာင္ ယူလို႔ရပါတယ္ အမ်ိဳး အစားေတြ အမ်ားၾကီးရွိပါတယ္ ။ shell upload ေတြတင္လုိ႔ရတယ္ ။ sever information ေတြ ယူလို႔ရတယ္ ။
လုပ္နုိင္တာေတြ အမ်ားၾကီးပါ ။

အဲဒီလို တိုတိုတုတ္တုတ္ မေျဖနဲ႕ေလကိုေနဇာ္ရဲ႕။ Photo ေတြဘာေတြနဲ႕ Tut ေလးေရးၿပီး ရွည္ရွည္ေ၀းေ၀း ေလေျဖေပးေလ။ ဒါမွ ေသေသခ်ာခ်ာသိမွာေပါ့။
ဟုတ္ဘူးလား

sqli နဲ႔ပါတ္သတ္ၿပီး က်ေနာ္ မွာ tuto ေလးေတြ ေတာ့ရွိပါတယ္ ။ ၀ါသနာပါ ၾကရင္က်ေနာ္ၿပန္တင္ေပးမွာပါ ။
sql injection ကိုဘယ္လို သံုးလို႔ရတယ္ ။ ဘယ္လိုလုပ္လို႔၇တယ္ဆုိတာေတြေလ တင္ေပးမွာပါ ။ နည္းနည္းေတာ့ၾကာေနၿပီ tuto ေလးေတြက out of date ေတာ့ၿဖစ္ေသးဘူးထင္တယ္ Very Happy

by Sponsored content