Видео: SQL - инъекция, добыча картона.

[sergaj]

Ну раз уж такой пример привел - народ ведь может промолчать и поняв то что ты написал))) Может они язык от восторга простотой изложения проглотили

Постоянно задавать одни и те же элементарные вопросы тебе тоже не будешь ибо это не учеба уже, а лентяйство.Человек же у которого есть какая то основа может многое додумать сам.

1. Я не против отвечать на любые вопросы по теме хакинга. Пиши в моих темах.
2. Про различия шеллов: задавай мне вопрос в теме, а не здесь. Я репу не заминусую.
3. Если нужно. То давайте обратимся к модерам, чтобы сделали топик как в ветке вопросы для новичков и закрепили "Часто задаваемые вопросы по хакингу и программированию".

 

[Katsuro]

1. Я не против отвечать на любые вопросы по теме хакинга. Пиши в моих темах.
2. Про различия шеллов: задавай мне вопрос в теме, а не здесь. Я репу не заминусую.
3. Если нужно. То давайте обратимся к модерам, чтобы сделали топик как в ветке вопросы для новичков и закрепили "Часто задаваемые вопросы по хакингу и программированию".

3 пункт, хорошая идея.

 

[reliz]

Кстати хотелось добавить. Сейчас вскрыл шоп хавижем - инфа затерта(в № карты везде пишет deleted), но когда жмакнул на поиск всех бд - там их штук 10) вот в 1 из них все тоже самое, но никакой шифровки
Так что ищите другие бд от сайта, если все плохо

 

[sergaj]

Кстати хотелось добавить. Сейчас вскрыл шоп хавижем - инфа затерта(в № карты везде пишет deleted), но когда жмакнул на поиск всех бд - там их штук 10) вот в 1 из них все тоже самое, но никакой шифровки
Так что ищите другие бд от сайта, если все плохо

Хм. Ну слава Богу хоть народ по-тихоньку научился пользоваться софтом.
1. Остальные базы не факт, что от одного и того же шопа.
2. Вы можете с помощью того же Хавиджа определить инжект. А потом, если данные "затерты" (иногда стоит фильтр на определенные данные), то крутите ручками.
3. Можете найти админпасс, админлогин. Расщифровать их, если нужно. Затем найти админку и залить шелл (если есть админка и возможно залить шелл). Статья в этой ветке есть. смотрите.

 

[Passion]

Кстати хотелось добавить. Сейчас вскрыл шоп хавижем - инфа затерта(в № карты везде пишет deleted), но когда жмакнул на поиск всех бд - там их штук 10) вот в 1 из них все тоже самое, но никакой шифровки
Так что ищите другие бд от сайта, если все плохо

Это скорей всего еще один из шопов, sergaj верно отписал

1. Остальные базы не факт, что от одного и того же шопа.

Что бы найти шоп в которой БД лазиешь, вбей дата базу в гугл и может тебе повезет, и шоп имеет название схожее с доменым именем БД.

 

[Vasders]

Самый надежный вариант - посмотреть другие таблицы шопа.
Там полюбому есть каталог, новости, статические страницы. Вот текст скопипастить в гугл и все найдется.
Еще вариант - если конфиг пишется не в файл, а в базу, то скорее всего там будет адрес шопа.

 

[goldeff]

Нужна помощь.. пассы зашифрованны не МД5., подскажет кто нибудь, что за шифровка и как расшифровать?!

nankilstlas@gmail.com $H$9ls2Tv6Sh/XHLj2wibkk2t1cGdozfu.
xpect007@yahoo.fr $H$9NaPSSDuMGSGWOMAbY7Mrchw0Uwund/
flatrabbit@flatrabbit.com $H$9kMBkrGAjU7tMb7ScyMCzJSm3pVXdL0
ralph@techopus.com $H$9LqLoI5ZNVbQBXqGrtZ9dv/8CUBba71
forums@darkbee.free-online.co.uk $H$98ohK22NNqb759w.s/x0A1upCuCg6O.
puckchaser@schnitz.net $H$9a6F0dE4ObuWYNmaFoNnqFA/nvnVVZ0
umbreon5@operamail.com $H$9HVKVFmyB8a2Xa8Z9KRL/9Z/ob/6JM/
sebastian@mail.com $H$9Ms0KZcaDgNMWuwf/vjq/UFd
sebrav@gmail.com $H$9RowrtBnoJH0SYyRXLBKPK2YueezW..

 

[Passion]

Думаю поможет _http://forum.antichat.ru/printthread.php?t=26983

 

[Keltos]

Нужна помощь.. пассы зашифрованны не МД5., подскажет кто нибудь, что за шифровка и как расшифровать?!

md5 phpbb

 

[goldeff]

md5 phpbb

Я уже разобрался. Спс

 

[goldeff]

Есть вопрос. Попадается много шопов которые подверженны скл., но в ручную не получается, а хавидж открывает имя БД., а дальше ступор.
Один из подобных линков: http://www.wedding-cake-toppers.com.au/shopping_cart.php?ID=295

В общем, какие есть варианты подобные сайты вскрыть?

 

[.grom.]

там нет базы information_schema, вот по этому havij и не выводит инфу, а подбирает таблицы и колонки из файла)

 

[Passion]

там нет базы information_schema, вот по этому havij и не выводит инфу, а подбирает таблицы и колонки и файла)

И называется это - 4 ветка MySQL'a.

---------- Сообщение добавлено в 12:59 PM ---------- Предыдущее сообщение размещено в 12:59 PM ----------

там нет базы information_schema, вот по этому havij и не выводит инфу, а подбирает таблицы и колонки и файла)

И называется это - 4 ветка MySQL'a.

---------- Сообщение добавлено в 01:02 PM ---------- Предыдущее сообщение размещено в 12:59 PM ----------

В общем, какие есть варианты подобные сайты вскрыть?

Есть, брутить колонки и таблички. Где-то я их уже выкладывал, найду чуть позже и скину линк, 10 мин.

---------- Сообщение добавлено в 01:07 PM ---------- Предыдущее сообщение размещено в 01:02 PM ----------

_http://www.sendspace.com/file/vmv89k

 

[.grom.]

И называется это - 4 ветка MySQL'a.

havij опедляет как 5 ветку )

 

[Passion]

В 4_ой нету information_schema.

 

[Nellex]

Почти в 100% найденных шопов половина номера карты закрыта ХХХ не закрыты только в тех шопах, где картон за 2007-2008 год, видать админы забили совсем на шоп.

 

[acter]

Попадается картон вот такого вида:
{i:0;s:5:"39.99";i:1;s:1:"1";i:2;a:2:{i:0;s:0:"";i:1;s:0:"";}}}}
также в таком формате и cc_name ,cc_type , cc_expire,cc_code .
А как бы узнать,возможно такие БД расшифровать??или это все попусту,лучше закинуть это гиблое дело???

 

[Passion]

Код же в топике выложен, который будет Вам писать в Вашу БД данные которые вбивались. Вам нужно только изменить страницу куда вбивают картон и радоваться. И Вам не придется парится с расшифровщиками и тем, что админ трет данные. Они будут и у Вас и у админа. Всегда свежий картон.

Читайте, пожалуйста, предыдущие посты.