Bearbeiten von „CInsects/Protokolle/Cinsects:Treffen-2015-12-16“

Dies ist eine Unterseite von [[CInsects]]

=Orga=
* Teilnahme am -FAUST-CTF
* heutiges Thema:
** SQL-Injekton
** Python-Requests

=Ablauf=
==Python-Requests==
* Vorstellung des Modules "requests" in Python
** arch-> python-requests
** "pip install requests --user"
** [http:/python-requests.org Homepage]
** Usage:
*** session = requests.Session()
*** rep = requests.get(URL,params={'user':'foo', 'passwd':bar' ...} )
** fancy Zeug mit Cookies ...

==SQL-Injetion==
* Einführung in SQL-Injetion
** Im Prinzip wie: [CInsects/Protokolle/CInsects:Treffen-2010.10.19 hier]
** Coole Stichpunkte:
*** INFOMATION_SCHEMA.COLUMNS
*** concat
* query
** Leaken von Informationen wie usernames, passwörter etc
** braucht informationen über den Aufbau der Tabelle
** braucht Ausgabestelle
*** Union select fürs dranhängen
*** concat fürs zusammenführen mehrer spalten
*** orakeln
**** codieren von informationen
**** z.B. Kommentar zur Ausgabe der Uhrzeit (guten morgen, guten mittag, guten abend) -> 3 Bit

*  bypass
** weitere Bedingugen auskommentieren
** "OR 1"