SQL Injection Tutorial [Simple Way]

Hallo erstma,ich heiße Some0ne und heute erkläre ich euch,wie man auf eine ganz leichte Weise ein SQL Injection Attack durchführen kann..
Jedoch brauchen wir vorher noch einiges,unzwar:

• Eine SQLi vulnerability[verwundbar/hackable] Seite.
• Internet

Jetzt stellt ihr euch sicherlich die Frage,wie und wo ihr solche Seiten finden könnte,dafür könnt ihr natürlich Google Dorks nehmen,die einem das Leben leicht machen..
z.B

So,wenn ihr danach sucht,sollten mehrere Ergebnisse erscheinen,die ihr nach und nach checken müsst,indem ihr an die URL ein „Hochkomma“ setzt..(‚)
Dann könnte sowas auftauchen..Wenn,die Seite vulnerability ist.

Soweit so gut,wir haben jetzt eine beliebige Seite,die wir nun gerne aber hacken würden.
Dafür müssen wir erstmal die Columns abfragen ..

In dem wir hinter die URL :

eingeben,so wenn jetzt die Seite richtig angezeigt wird,also ohne ein Error wie gerade erwähnt , heißt das,dass die Seite auf jeden Fall 10 Columns hat,wenn wir aber jetzt z.B 15 eingeben und dann ein Error auf der Seite kommt,haben wir weniger als 15 Columns,dies müssen wir dann auch mit 14,13,12,11 ausporbieren..

Gehen wir davon aus,dass die Seite nur 10 Columns hat und bei 11 ein Error zu sehen ist,nehmen wir nun alles was wir an die URL gehängt haben raus..

und geben nun stattdessen :

ein,so dass nun alle Columns einzelnd aufgelistet werden..Von 1-10 ..Da unsere Seite auch nur 10 Columns hat.

So,jetzt machen wir die ID ungültig,damit uns die Seite eine Zahl ausgibt,womit wir auch später die Version der DB etc. abfragen können.

z.B :

Jetzt dürfte irgendwo auf der Seite eine Zahl stehen,die ganz offensichtlich zu sehen ist..Beispiel Weise die Zahl „3“ ..

Wenn wir jetzt die Datenbank Tables aufgelistet haben wollen,geben wir in der URL :

jetzt sollten auf der Seite die Tables stehen..Wir wollen,jetzt aber auch noch die Columns,also was in den Tables noch steht haben..

Jetzt schreiben wir :

Da wir aber den Table Name in Hex Code schreiben müssen,könnt ihr HIER auf der Seite den Text in Hex umwandeln und so es eingeben,aber davor muss ein „0x“ stehen!

So jetzt erscheinend Columns wie „password“ / „username“ / „admin“ etc.
Da wir nun all die Daten von den Columns haben wollen,schreiben wir :

..

0x3a steht für ein „Doppelpunkt“.. (

So das wars auch schon,denn die Seite sollte jetzt die Daten ausgeben,die wir haben wollten,in dem Fall „admin“ und „password“..

Wenn wir jetzt aber auch noch die Seite defacen wollen,müssen wir iwo im Admin CP ein Shell uppen und das dann halt so defacen..Aber sonst wars das auch schon..

(C) Some0ne