GoConqr hat ein neues Design! Sag uns, wie es dir gefällt.

Kostenlos registrieren

Flussdiagramm

SQLi

sprut gamer Dirección de Proyectos Curso Interno de Empresa Spanisch

Inhalt des Flussdiagramms

  1. SQLi

  2. Encontrar campo inyectable

  3. Empezar la explotacion

  4. Peticiones html

  5. curl

  6. BurpSuite

  7. [?/=]contenido[;/'/nada]query

  8. admin@test[;/']query

  9. ¿El vector esta en la URL?

  10. ¿El vector esta en un campo?

  11. Si

  12. No

  13. ¿El campo valida el formato?

  14. [;/']query

  15. Si

  16. No

  17. ¿Obtenemos output?

  18. Si

  19. No

  20. 'order by -- -

  21. ¿Obtenemos output?

  22. Encontrar las columnas que imprimen contenido

  23. Seguir enumerando columnas

  24. ¿Obtenemos output?

  25. SQLi time based

  26. ¿Obtenemos output?

  27. SQLMAP

  28. Blind SQLi

  29. Si

  30. No

  31. No

  32. No

  33. Si

  34. Si

  35. ¿Obtenemos output?

  36. Comprobar que el nombre de las bases de datos y las tablas sea acorde al tipo de base de datos

  37. Bypassear palabras en blacklist cambiando mayus

  38. Bypassear uso de comillas en el nombre de la tabla o base de datos poniendo los nombres en hexadecimal

  39. --data-urlencode

  40. Enumerar todos los datos validos para un campo

  41. campo=valor'or 1=1-- -

  42. No

  43. ¿Obtenemos output?

  44. campo=valor'or 1=1 limit 0,1-- -

  45. Enumerar todos los valores

  46. Si

  47. Encontrar la palabra poniendola despues del comentario del order by

  48. Enumerar bases de datos

  49. ¿Obtenemos output?

  50. ¿Obtenemos output?

  51. Dumpeo de datos

  52. No

  53. No

  54. Si

  55. ¿Dumpea todos los datos de la clumna?

  56. group_concat(campo1,campo2)

  57. ¿Devuelve todas las tablas o columnas?

  58. group_concat(schema_name/table_name/column_name)

  59. Si

  60. No

  61. Credenciales

  62. Si

  63. No

  64. Validarlas en todos los servicios o paneles de login

  65. Guardarlas para una vez obtenido el acceso inicial loguarse directamente en la base de datos

  66. Comprobar absolutamente cada campo para ver si es inyectable

  67. Web

  68. Burpsuite

  69. Tener en cuenta que los paneles de login no tienen porque ser el mismo. Por ejemplo el login principal de una web y el panel de registro donde tambien te dan la opcion de loguearte pueden mandar peticiones diferentes y que por lo tanto en un login los campos sean inyectables y en otro no.

Informationen

Beschreibung
Curso Interno de Empresa Dirección de Proyectos Flussdiagramm am SQLi, erstellt von sprut gamer am 23/03/2022.
Erstellt von
sprut gamer
Aufrufe
0
Bewertung

Feedback

Worum geht es?

Wie gefällt dir das neue Design?

Dein Eindruck