SQLXSS - Kombinieren von SQL Injection und XSS

[Lidloses_Auge]

Nicht wirklich spektakulär und neu, aber manchmal vielleicht hilfreich.

SQLXSS - Kombinieren von SQL Injection und XSS

Für gewöhnlich betrachtet man SQL Injections und Cross Site Scripting Attacken separat,
aber es ist durchaus möglich beides zu kombinieren, leider auch nur in eine Richtung. Wenn man eine Injection gefunden hat, dessen MySQL Version 4 ist, die Tabellen sowie
Columns unbekannt sind, und auch keine Möglichkeit für load_file() besteht, braucht man
nicht unbedingt aufgeben.
Sofern eine Ausgabe vorhanden ist, kann man jeden möglichen Text darstellen, und natürlich
auch, wenn dieser HTML Tags und Javascript Code enthält.
Deswegen kann man SQL Injection und XSS ganz einfach kombinieren.
Das ganze nennt sich SQLXSS und könnte nützlich sein, sofern man nichts
gegen das Anwenden von XSS hat.
Man braucht die Column bei der man die Ausgabe erhält nur ersetzen mit einem beliebigen
JavaScript Code. In diesem Beispiel eine MessageBox mit dem Inhalt “NovuSec”.

Beispiel 1: '<script>alert("NovuSec");</script>'

Wenn magic_quotes_gpc angeschaltet ist, braucht man den Text nur in Hexadezimal umwandeln
und bekommt das gleiche Ergebnis.

Beispiel 2: 0x3C7363726970743E616C65727428224E6F76755365632229 3B3C2F7363726970743E

Diese Methode ist nichts besonderes, da man mit einer SQL Injection meist mehr anfangen
kann, als mit einer XSS Lücke, aber manchmal könnte es vielleicht doch nützlich sein.

Quelle: NovuSec.com

[VeN0m]

Kann Wissen jemals unnütz sein?
Sehr schönes Tutorial, Auge. Wieder was gelernt, was vielleicht irgendwann mal Anwendung findet .
Weiter so!

[phlippi]

War mir neu, dass das auch funktioniert. Wird bei mir wohl kaum zum Einsatz kommen, aber man weiß ja nie, vielleicht kann man es ja doch irgendwie mal gebrauchen. Aber auf jeden Fall gut, dass man weiß, dass es funktioniert. Danke für das Tut

[fred777]

Stimmt ist nicht wirklich neu, aber eine nette Erklärung ist es geworden

[J0hn.X3r]

Nettes Tutorial, Augloses_lid

electron1x hatte mir schon damals gesagt, wie hilfreich sowas sein kann, wenn die MySQL Version 4 ist, oder man das Admin PW nicht entschluesseln / "cracken" kann.

[PoLe]

hmm ich finds auch nicht schlecht keule^^