[HaBo]
| Webmaster-Security Fragen zur richtigen Serverkonfiguration oder Absicherung dynamischer Scripte gehören hier hinein. |
SQL Injection Scanner *UPDATE*
Diskussion: SQL Injection Scanner *UPDATE* im Forum Webmaster-Security, in der Kategorie Security Area; Anzeige FÜR DAS VIDEO LETZTEN POST LESEN Hi, kennt von euch jemand ein Freeware Tool das eine Seite automatisch auf ...
 |
16.09.06, 21:12
| #1 (permalink) |
| Registriert seit: 23.05.05   Likes: 0 |  SQL Injection Scanner *UPDATE* Anzeige FÜR DAS VIDEO LETZTEN POST LESEN Hi, kennt von euch jemand ein Freeware Tool das eine Seite automatisch auf SQLInjection,Code Injection,XSS und so untersucht? Wenn nein wie geh ichs am besten an wenn ich sowas coden will? Ich würds so machen: Das Programm holt sich den HTML Code der Ziel URL. Dann durchsucht es ihn * nach <form> Kontainern und liest dort den Namen des Scripts und die übergebenen Variablen aus * Nach Links in denen GET Parameter übergeben werden und liest dort auch den Namen des Scripts und die übergebenen Variablen aus Dann ruft es alle gefundenen Scripts mit den entsprechenden Variablen auf. Der Wert der Variablen wird auf ' OR gesetzt. Die generierte Seite wird auf SQL Warnungen durchsucht. Anschliesend sucht es aus der AnfangsUrl alle Links raus und testet diese Seite auch wieder usw. Hat jemand Verbesserungsvorschläge oder vielleicht sogar so ein Programm? Schon mal vielen Dank, Xalon |
|  |
|
17.09.06, 00:25
| #2 (permalink) |
| Registriert seit: 25.12.04 Likes: 0 |  Dein Projekt hört sich interessant an. In welcher Sprache willste das machen, Perl? Wenn man z.Bsp. ein ganzes Board mit nem Skript auf <script>alert("Test")</script> Möglichkeit untersucht, lassen sich sicher noch einige XSS Lücken finden, die noch nicht public sind. Das Programm AccessDiver (Testet htacces auf "schwache PW", mit einem Dictionary Angriff), beinhaltet auch eine Funktion (Exploiter), mit der man nach Zugängen z.Bsp. in der cgi-bin etc. suchen kann. Das positive an AccessDiver, bekannte Lücke, (wie etwa im D-Link Router bei dem sich einfach die PW auslesen lassen), können so hinzugefügt werden. Stellst Du Den Quell Open Source, wenn dass Programm fertig ist? |
|
| |
| HaBOT | - Anzeige - |
|
|
17.09.06, 01:52
| #3 (permalink) |
| Guest Likes: | Gabs da nicht vor einiger Zeit einen Artikel über einen Proxy der genau das macht? Name fällt mir jetzt leider nicht ein...  |
| |
|
17.09.06, 09:46
| #4 (permalink) |
| Member of Honour   Registriert seit: 29.10.01  Likes: 8 | Hm, SQL Injektion ... @xalon In Dein Proggy muss auch 'ne, naja, sagen wir mal "Cookiehash-in-Passwort-Rückwandel-Funktion" rein, damit unser Stone endlich mal sein Board-Sniffer-Video fertigstellen kann.  Golgy.  
__________________ Man sieht nur mit dem Herzen gut. Wirklich relevante informationren sind für's Auge unsichtbar! |
|
| |
|
17.09.06, 11:37
| #5 (permalink) |
| Themenstarter Registriert seit: 23.05.05 Likes: 0 | @stone.dr: Ne eher in C/C++ ,ich kann kein Perl. Ja mal schauen, denk schon das ich es OpenSource machen werde. @Matt: Ja das kenn ich auch aber das is nicht das was ich suche. Naja dann fang ich mal mim Coden an  |
|
| |
|
20.09.06, 19:38
| #7 (permalink) |
| Guest Likes: | http://chorizo-scanner.com/ ungetestet... allerdings würde ich das testen nie inem propgramm überlassen und immer selbst noch einmal nachschauen. sicher ist sicher |
| |
|
13.10.06, 06:23
| #8 (permalink) |
| Registriert seit: 15.05.06 Likes: 0 | C++? hätte Lust mit zu coden. mit oder ohne GUI? Welches OS ? |
|
| |
|
21.10.06, 14:35
| #9 (permalink) |
| Themenstarter Registriert seit: 23.05.05 Likes: 0 | So nachdem ich jetzt lange nicht mehr gecodet hab hab ich vorgestern wieder angefangen... Ich habs jetzt in 2 Teile geteilt: 1.Der Sniffer Das Programm snifft alle HTTP-Requests mit und schreibt sie in eine TXT Datei 2.Der Scanner Das Programm liest das RequestFile aus und greift die Parameter darin an. Anschliesend untersucht es den HTML Source auf den String ' OR,sollte es ihn finden gibt es eine Erfolgsmeldung aus . Also das Angreifen von GET Requests funzt bereits wie diese PHPKIT Lücken zeigen (Version 1.6.03): Log So jetzt mach ich mich dran auch noch das mit den POST-Requests zum laufen zu bekommen... Xalon P.S: @Unicate: Sorry hab deinen Beitrag erst grade gesehen. PPS:Heißt das successful oder successfuly ? |
|
| |
|
21.10.06, 14:56
| #10 (permalink) |
| Senior Member Registriert seit: 18.09.05 Likes: 0 | Ich denke mal das ist ein adverb, da es sich auf attack bezieht. -> successfully |
|
| |
|
21.10.06, 16:44
| #11 (permalink) | |
| Registriert seit: 13.03.05 Likes: 0 | Zitat:
oder "successfully attacked" würde ich auch sagen. MfG, bmaker | |
|
| |
|
21.10.06, 17:08
| #12 (permalink) | ||
| Guest Likes: | Zitat:
). | ||
| |
|
21.10.06, 17:24
| #13 (permalink) |
| Registriert seit: 15.10.06 Likes: 0 | Wenn du fertig bist veröffentliche pls den Code im Forum oder schick ihn mir. Ich will umbedingt wissen wie schnell es läuft und funktioniert. Meine Sites müssten mal geprüft werden. Hab fast nie genau nach SQL- Injektion o.ä getestet. |
|
| |
|
21.10.06, 17:37
| #14 (permalink) | |||
| Registriert seit: 13.03.05 Likes: 0 | Zitat:
MfG, bmaker | |||
|
| |
|
19.11.06, 14:13
| #15 (permalink) |
| Themenstarter Registriert seit: 23.05.05 Likes: 0 | Sooo, der Scanner funktioniert jetzt endlich einigermaßen so wie ich mir das vorstelle Ich hab mal ein kleines Video gemacht das zeigt wie das Programm arbeitet: Download (< 1MB) Was haltet ihr davon? Was soll ich verändern/hinzufügen? Schreibt mal was,bis jetzt is der Thread ja ziemlich untergegangen  Xalon |
|
| |
|
| - Anzeige - | |
|
|
[HaBo] » Security Area » Webmaster-Security » SQL Injection Scanner *UPDATE*
| Themen-Optionen | |
| Ansicht | |
Linear-Darstellung
| |
Ähnliche Themen | ||||
| Thema | Autor | Forum | Antworten | Letzter Beitrag |
| SQL-Injection | Zaireking | Webmaster-Security | 16 | 16.05.07 15:26 |
| DLL-Injection in ASM? | _SharK_ | Code Kitchen | 10 | 27.11.06 19:06 |
| Sql Injection | sym4nt3c | Hacks & Crackmes | 14 | 01.09.06 17:09 |
| DLL-Injection | Xalon | Code Kitchen | 8 | 20.06.06 23:18 |
