Underc0de

[In]Seguridad Informática => Bugs y Exploits => Mensaje iniciado por: k43l en Julio 04, 2012, 04:26:31 PM

Título: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: k43l en Julio 04, 2012, 04:26:31 PM
(http://informaticalive.com.ar/wp-content/uploads/2012/07/hacking.jpg)

Bueno pues la verdad no sabia que titulo colocar a esta entrada, pues aunque parezca algo fuera de lo normal, esto puede realizarse, mediante la famosa tecnica conocida de sql injection podemos obtener correos electronicos y passwords de cuentas de hotmail, facebook, gmail, yahoo, entre otros.

Bueno la tecnica no es 100 % segura, pero al menos obtendran como minimo entre 2 y 3 cuentas de hotmail, vamos al escenario.

Lo que yo hice fue buscar alguna pagina web que sea vulnerable a sql injection, pero que ademas de ser vulnerable tenga login de usuarios, es decir que existe una tabla en la base de datos de la web que permita a los visitantes registrarse y loguearse, como por ejemplo un foro de discusión.

Bueno para tal caso use la herramienta Sqlmap, que en una entrada anterior explique esta herramienta que nos permite realizar injeccion sql automatizadas, pues eso es lo que haremos:

el comando seria el siguiente para obtener todas las tablas de la web vulnerable:

./sqlmap.py -u http://www.pagina_vulnerable/detalle.php?id=1 –tables

Con el comando anterior le estamos diciendo que nos vote todas las tablas que posee el servidor donde esta alojado la web, incluyendo la base de datos por defecto "INFORMATION_SCHEMA"

despues de realizar el anterior comando nos mostrara una imagen como la siguiente:

(http://informaticalive.com.ar/wp-content/uploads/2012/07/tito0.png)

En la imagen anterior nos muestra las tablas que contiene la aplicacion web, mas la tabla por defecto, pero la que nos interesa es la tabla de la aplicacion que como pueden ver se llama tito_tito

Ahora procedemos a sacar los usuarios registrados en la pagina web, en este caso no nos interesa encontrar el user y pass del admin ya que nuestro objetivo es otro, la tabla que nos interesa en este caso es la tabla users

ponemos en la shell:

./sqlmap.py -u http://www.tito.com.mx/detalle.php?id=1 -D tito_tito -T users –dump

esto nos mostrara todos los campos de la tabla users y en caso de que esten encriptadas nos preguntara para crackearlo por fuerza bruta, bueno tendremos una imagen como esta:

(http://informaticalive.com.ar/wp-content/uploads/2012/07/tito1.png)

y despues nos mostrara como la siguiente imagen:

(http://informaticalive.com.ar/wp-content/uploads/2012/07/tito4.png)

Bueno ahora viene la parte morosa y aburrida, y se trata de testear cada password y correo electronico que veamos, pues no nos queda mas que hacerlo, la verdad a mi me tomo bastante tiempo, pero siempre existe la posibilidad de encontrar lo que esperamos, ya que existe mucha gente que tiene un solo password para todo, y eso lo que intento demostrar

Bueno despues de buscar y buscar encontre algunos que resultaron como yo queria, que por razones de seguridad no pondre cuales son, procedemos a testearlo con la pagina de hotmail y funciono tal y como muestra la siguiente imagen:

(http://informaticalive.com.ar/wp-content/uploads/2012/07/tito2.png)

y si tenemos suerte es la misma la de facebook:

(http://informaticalive.com.ar/wp-content/uploads/2012/07/tito3.png)

Bueno eso fue todo, espero que les haya gustado y sean eticos con las webs que vayan a encontrar de este tipo, no realicen modificaciones en las cuentas que logren entrar, ya que eso solamente lo harias los lammers, y es por esa misma razon que no puse las cuentas de correo y los passwords.

salu2
by k43l
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: Dedalo en Julio 04, 2012, 04:32:12 PM
jajajajajaj xD buena explicación me ha agradado el topic...  esta tecnica es muy usada por algunas t00ls que se venden...


Saludos,
Dedalo
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: k43l en Julio 04, 2012, 05:18:53 PM
jejejej pues gracias, que bueno que te gusto, no se si las herramientas que venden utilizan este método de captura de cuentas y passwords
salu2
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: manutepowa en Julio 04, 2012, 08:32:11 PM
XD Perfecto manual y muy bien explicado  ;)

Pero tengo la duda de como sabes que el ataque sqlmap se hace a esta URL http://www.tito.com.mx/detalle.php?id=1

la parte de ver que hay un archivo detalle.php.....

Saludos
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: aura16 en Julio 04, 2012, 08:47:21 PM
El titulo para tu pos seria "ataque a una web con Sqlmap"

por sierto rienes razon la parte mas aburrida es la de testear correo por correo D:

PD. en google no puedes entrar tan facil porque aunque tengas la contraseña si no eres del mismo pais no puedes entrar, tienes que cambiar la ip a una region igual y no solo eso, sino que google tiene activada la deteccion de ips y aparece un registro de todas las veces que an entrado a ese correo sea el dueño o no D: y si hay un rango de incongruencia google se reserva el derecho de quitar el acesso a la cuenta ._. seas el dueño o no


muy buen post Xd
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: REC en Julio 04, 2012, 09:48:31 PM
Muy buen aporte! bro! me eh topado con webs asi!  gracias por compartir!  ::)
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: k43l en Julio 05, 2012, 04:05:02 PM
gracias por su comentarios
manutepowa si te refieres como se que existe un archivo asi llamado en la web, primero me pongo a buscar una pagina que sea vulnerable a sql injection mediante google dorks u otros metodos, despues ya puedes automatizar el ataque con la herramienta sqlmap, espero haberte aclarado tus dudas
salu2
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: Dr0B4ck en Julio 12, 2012, 01:51:42 PM
Buen aporte K43l aunque esta tecnica es nada mas de ponerme a pensar nunca se me ocurrio jeje ;)
Título: Re: Hacking de cuentas de Hotmail y Facebook por Sql Injection
Publicado por: andrewtwo en Agosto 30, 2012, 04:40:20 AM
me gusto esa forma de obtener cuenta de facebook aunque la comparación es tediosa  ;D