# UnderAttHack n.4 by Hackingeasy Team

---

---

Macedonia di sistema

Per quei pochi che non lo sapessero, Cygwin (ideato da Cygnus Solutions, oggi gruppo RedHat) è un sistema per il porting di applicazioni UNIX sotto Windows, strutturato come una vera e propria distro con repository e pacchetti.
L'uso di Cygwin è dedicato all'utenza Windows, certo non quella che vive tra Facebook, Youtube e Youporn...diciamo quel 5% che usa Windows come un sistema operativo.
Dal sito cygwin.com è sufficiente scaricare setup.exe e scegliere i pacchetti da installare durante la procedura guidata.
Si può trovare un po' di tutto, dai programmi per il terminale alle applicazioni GUI, a veri e propri ambienti desktop.
Per quanto riguarda installazione e scelta delle applicazioni si trova abbondante materiale in rete (oltre a riguardare gusti individuali).
Io non sono un appassionato di applicazioni grafiche, però posso ad esempio mostrarvi questo:
Dove potete vedere MidnightCommander e GDB che girano sotto Windows.
Con l'immagine precedente verrebbe da dire: bello!...Ma chi se ne frega :-(
Certo non posso scrivere su UAH come abbellire Windows e farvi fare bella figura con gli amici...

frutta fresca

Chi utilizza Windows vive di credenze commerciali secondo cui un sistema è tanto migliore quanto più è lucente e trasparente; difficilmente si comprende l'utilità del terminale con il suo aspetto retrò se non addirittura primitivo.
Siccome questa guida è necessariamente dedicata all'utenza Windows è bene inquadrare meglio il problema.
La shell è un'interfaccia basata su Bash (che possiamo definire come 'il linguaggio del terminale') che permette l'interazione con tutto il resto delle applicazioni di sistema gestendone input e output. Ovviamente questo sistema è incrementale ed ogni programma viene legato sia a Bash che ad altre applicazioni gestibili (cat, grep, sed, awk ecc.).
Creare un programma console sotto sistemi UNIX vuol dire poter inserire i sui dati in entrata e in uscita all'interno di una struttura complessa in grado di automatizzare un gran volume di processi.
Sotto Windows non esiste una situazione analoga perchè il trattamento di un output da parte di Batch non garantisce duttilità dei processi e soffre di mancanze che bloccano parecchie possibilità.
Una scelta attuabile è quella di delegare ad esempio a Perl o Python quelle caratteristiche che offre Bash, in modo che il Prompt risulti un passaggio obbligato ma alquanto inutile.

Quello che cercheremo di capire in questo documento è quanto e come sia possibile riprodurre una simile modalità di lavoro, semplicemente utilizzando il porting di Cygwin e facendolo interagire con l'ambiente Windows.

La preparazione

All'apertura del programma ci troveremo di fronte un prompt (o il vostro terminale a scelta) con le tipiche diciture UNIX: vediamo di fare il punto: Come vedete path e impostazioni di Windows si mischiano a quelle UNIX permettendo interessanti interazioni: Spero non occorra spiegare cosa fa il comando. Vi farei invece notare la possibilità di aprire il file risultante tramite Notepad, fatto che ci mostra il tipico uso di programmi Windows sicuramente presenti nello sviluppo sotto quel sistema, sia la possibilità di chiamare applicazioni Windows direttamente da Cygwin.
La presenza dei tool tipici del terminale ci dà sicuramente molte opportunità: Per chi fosse pigro, il risultato di sarà questo file page.html: Andava tolto anche il primo <br>, va beh, non importa...
Decisamente più degno di rilievo è il fatto di utilizzare sed e cat (così come altri tool classici) nello scripting su Windows.
Per comodità ho richiamato lo script da bash, è comunque presente chmod per renderlo eseguibile, così come è possibile eseguire lo script tramite variabili d'ambiente o link simbolico nelle stesse (il comando 'ln' è presente)

Arrivati a questo punto mi permetto qualche considerazione, considerando che ho usato Cygwin espressamente per questa guida e utilizzo GNU/Linux.
Per realizzare questo documento ho voluto testare Cygwin in maniera minimale, utilizzando poco più di quello che il programma offre di default. Ci sono stati due particolari aspetti con cui ho dovuto scontrarmi, decisamente irritanti.

Come prima cosa, ho voluto utilizzare Notepad per la scrittura di tutti i file; escludendo la riconosciuta inutilità di quell'editor, i problemi maggiori sono quelli di non avere una sintassi colorata e soprattutto di non avere il fine-riga UNIX (cosa risolvibile, lo vedremo). Vi consiglio vivamente di utilizzare qualcosa di decente, ad esempio sotto Windows io uso PSPad, ovviamente ci sono molti altri text-editor che fanno lo stesso lavoro (assicuratevi che abbiano la colorazione per la sintassi .sh) e sono magari un po' meno 'corposi'.
Si può settare l'editor di default per aprire file da terminale tramite il classico link in path: È chiaro che nessuno vieta di installare direttamente un editor da Cygwin come vi, Emacs, Nano ecc. (di default non ne vengono forniti).

Un'altra cosa ancora peggiore è il terminale di default che si appoggia al cmd di Windows dove tutto è più difficile.
Anche in questo caso esiste una vasta scelta dei più classici emulatori installabili (oltretutto nel sito ufficiale di Terminator trovate anche un suo porting su Cygwin).
Per la verità ho trovato in rete alcune guide per migliorare l'utilità di Cygwin sul Prompt, però trovo decisamente inutile impuntarsi su quello.

La macerazione

Tornando al primo semplice esempio in cui abbiamo richiamato Notepad, proviamo ad ampliare un po' l'interazione tra Windows e Cygwin.
Su Linux esiste la possibilità di fornire semplici interfacce grafiche per la gestione degli script a partire dall'essenziale Dialog fino al nuovo ed evoluto (e Italianissimo) BUC.
Per Cygwin esistono dei port di Zenity, che chiaramente richiedono l'installazione di Gtk (Gtk di Cygwin).

Per quale ragione bisognerebbe sprecare Gtk per questa funzione quando abbiamo VBS già presente su Windows?

Su Windows c'è la possibilità di eseguire un .vbs dal prompt avviandolo tramite cscript Nell'esempio che faremo andremo a creare un file .sh di esempio, che sia avviabile da Cygwin, che 'emuli' Zenity e che sfrutti VBS. Per farlo utilizzeremo dei file temporanei creati nella directory '/tmp' di Cygwin.
Siccome si potrebbe fare un intero articolo sulla scrittura del programma, contenuti e procedure saranno molto semplificati, come detto all'inizio.
Creeremo tre funzioni: un MessageBox, un dialogo di selezione file e un InputBox.

Per chiarezza posto i codici VBS necessari:

MessageBox:
Selezione File: InputBox: Come vedete ho usato le opzioni Wscript perchè credo siano decisamente più diffuse (non sono un esperto di VBS xD)
Il nostro programma potremmo chiamarlo ZenWin, però Winity mi pare più carino :-)
La sua sintassi sarà questa:

$ winity --msgbox [testo] [caption]

$ winity --fileselect

$ winity --input [testo]

Dopo la lettura dei parametri di input, il programma andrà a creare un file .vbs dentro /tmp che verrà quindi letto da cscript fornendo l'output alla console.
Per la lettura da cscript useremo l'opzione '//NoLogo' in modo da avere un risultato pulito. Sì, così mi piace ^^ A questo punto dobbiamo farne un programmino costruito, a modo in maniera che risulti utilizzabile. In questo caso l'uso di Notepad crea problemi non da poco perchè (forse sono rimbambito...) non c'è modo di salvare il file senza estensione, quindi l'ho salvato come .foo e poi l'ho tolta a manina.
Copio il file dentro /usr/local/bin (comunque in un path di esecuzione) e lo rendo eseguibile: A dire la verità ho verificato che non è necessario dare i permessi di esecuzione e forse per chi usa Windows non è una cosa spontanea.

Adesso che abbiamo il nostro winity possiamo usarlo in qualche modo utile, ad esempio possiamo associare il suo comodo uso al comado 'tr' per eliminare quel fastidioso problema del fine-riga DOS sul nostro Notepad.
Potremmo ad esempio creare un nuovo notepad dentro /usr/local/bin in modo da attivarlo dal terminale di Cygwin...troveremo anche un problema per complicarci la vita ^^
Per motivi di 'simpatia' chiamerò il programma con lo stesso nome del blocco-note di Windows e lo posizionerò dentro /usr/local/bin, in maniera che venga letto prima dell'originale. Di per sé avere ridondanze sul nome di eseguibili (ed entrambi contenuti nel path utente...) è un metodo di lavoro decisamente deprecabile; accettatemi il gioco :P

Avremo due problemi anomali rispetto ad una comune scrittura su GNU/Linux:

1. Non potremo richiamare l'apertura del file con il comando 'notepad nome_file' perchè a quel comando risponderà il nostro script e non più l'editor di Windows.
Dovremo inserire il percorso completo letto da Cygwin:
/cygdrive/c/WINDOWS/system32/notepad

2. Per inserire 'LF', cioè il terminatore di riga aggiuntivo di DOS, utilizzeremo il comando: grep '^M' nome_file
'^M' sotto Linux si ottiene con CTRL+vm...come portarlo su Notepad per scrivere lo script?
Dalla shell di Cygwin '^M' si ottiene senza problemi; nella posizione del grep ho scritto 'pippo' e alla fine della scrittura del file l'ho sostituito da terminale tramite sed: Vediamo lo script: Un giochino decisamente simpatico ^^ A sinistra apertura dal Notepad da Windows, a destra dal notepad su Cygwin...decisamente più leggibile.

Servire freddo

Per proporre questo articolo ho giocato parecchio con Cygwin (che praticamente non conoscevo prima di quest'estate).
Ho voluto soffermarmi sulle possibili interazioni di questo con Linux per lanciare delle idee di 'fusione' tra i due elementi piuttosto che 'aggiunta' alle applicazioni Windows (ad esempio la compilazione da GCC).
Gli esempi fatti sono decisamente semplici quanto inutili, però mostrano ad esempio quanto l'uso di Cygwin su Windows sia nettamente più utile di WINE su GNU/Linux. Per motivi di spazio molte cose sono state tralasciate, in primis l'interazione Bash/Perl/Python teoricamente non riproducibile nel sistema di casa Microsoft.

Per chi come me lavora quasi esclusivamente su GNU/Linux credo si ponga una domanda immediata: perchè scegliere Cygwin anziché installare una normale distro?
La risposta che mi sono dato è piuttosto articolata ma credo più che valida.
Cygwin risolve i problemi di coloro che per vari motivi hanno necessità di utilizzare Windows per alcuni programmi insostituibili, pur non volendo rinunciare all'enorme quantità di software libero di GNU/Linux o ad alcune sue ottime applicazioni.
Naturalmente non mi riferisco soltanto agli appassionati di giochi; pensiamo a chi lavora su VisualStudio, su Photoshop, su Acrobat, su Qbase ecc.
Dall'altra parte esiste il caso opposto di chi come il sottoscritto lavorando su Bash ha necessità di utilizzare GNU/Linux.

Escluso il caso derivato da quanto detto prima, cioè 'se uso solo Linux allora lo installo', credo che Cygwin abbia due limiti fondamentali:
Il primo è quello strettamente tecnico per cui tutto quello che riguarda il kernel su Cygwin non è attuabile (un esempio pratico potrebbe essere che non si può portare iptables su Cygwin), quindi l'intersezione completa dei due sistemi non può esistere oltre un certo livello.
Il secondo aspetto è più pratico ed è visibile anche nei semplici esempi fatti: Cygwin non è Linux, certo che nella visione dell'utente finale può apparire la stessa cosa però non è così automatico prendere applicazioni e portarle su Cygwin e la cosa diventa particolarmente evidente andando a leggere ad esempio gli header di GCC.

Pur nelle sue limitazioni, spero che questo documento abbia suscitato il giusto interesse per una piattaforma così particolare e dalle sterminate potenzialità.

---

Sql Injections

0x00 Introduzione

Nel precedente numero di questo e-zine è stato inserito un articolo riguardante le più note vulnerabilità del web, tra cui le Sql Injection. Questo articolo non si propone di scrivere le medesime cose, ma bensì di approfondire l'argomento riguardante le iniezioni sql, parlando anche delle blind sql injection, attacco molto simile, ma molto più difficile da attuare.
Tutto il procedimento di attacco servirà poi a capire come difendersi da tutto ciò e come rendere le nostre pagine dinamiche in php più sicure per i nostri lettori.

0x01 Prerequisiti

I prerequisiti per affrontare questo tutorial, per uscirne con una conoscenza maggiore sono:

- Conoscenza del linguaggio SQL
- Conoscenza di MySQL
- Conoscenza di PHP
- Una buona memoria

0x02 Sql injection

Siamo arrivati al terzo paragrafo, finalmente cominciamo a parlare della vulnerabilità vera e propria. Molto spesso nella creazione di un sito dinamico ci appoggiamo ad un database MySQL, questo per gestire i dati in modo ordinato e sapere come ricercarli una volta inseriti. L'esempio più comune, è il form per l'inserimento di username e password, o anche quello per l'inserimento di una news: In questo caso, i dati vengono inviati tramite metodo POST alla pagina login.php, che ha il compito di cercare nel database l'username inserito nel form, e qualora il campo password corrispondesse con quello del database, il login avrebbe successo, altrimenti verrebbe mostrato un messaggio di errore. Andiamo ora a vedere come lavora la pagina login.php: Notiamo la query che il codice invierà al database: Analizzandola, possiamo capire subito che possiamo inserire qualsiasi valore nel campo password e possiamo manipolare la query a nostro piacimento.
Se proviamo ad inserire la query "nonna' OR 1=1" nel campo password, e come username admin, la query diventerà: Dato che la condizione OR è sempre vera in quanto 1 è sempre uguale ad 1, il login avverrà e avremo accesso al database come utente admin. Questa tecnica è chiamata "Authentication Bypass".
In questo esempio abbiamo effettuato l'iniezione dal form, ma ora andiamo a vedere l'iniezione diretta sull'url, in modo da andare a cercare la tabella che ci interassa e le specifiche colonne di username e password che ci serviranno per effettuare l'accesso. Questa parte si rivela più difficile della prima, in quanto dobbiamo armarci di grande pazienza.

Allora, se avete letto i prerequisiti dell'articolo, dovreste avere una minima conoscenza del linguaggio SQL, quindi vado avanti senza spiegare direttamente i vari comandi che ci serviranno. Nel caso non abbiate i giusti prerequisiti, potete fare una ricerca del comando utilizzato, e capire come funziona.
Nella maggior parte dei casi questa vulnerabilità si verifica nella pagina news.php, o in qualsiasi pagina che visualizzi le news, proprio perchè questa riceve l'id dell'articolo via GET, e rende l'url vulnerabile se non vengono effettuati i dovuti controlli. Prendiamo in esame il seguente url: La pagina news.php di questo sito, cercherà all'interno del database MySQL, nella tabella delle news, una colonna id che corrisponda al valore 56, e mostrerà la relativa colonna "articolo". Molto spesso, nella pagina relativa non vengono controllate le varaibili acquisite tramite GET, e questo rende l'url vulnerabile. Ma come ce ne accorgiamo?
È semplice, basta inserire una condizione falsa (AND 1=2) e se nella pagina qualcosa non viene visualizzato o è presente qualche errore, possiamo tentare la controprova (AND 1=1); se l'articolo viene visualizzato correttamente, e non ci sono errori, allora l'url risulta chiaramente vulnerabile. Questo accade perchè la nostra richiesta significa "visualizza l'articolo con id 56 solo se 1 = 2" e siccome 1 != 2 l'articolo non viene visualizzato. Quindi: Dopo essersi accertati di tutto ciò, dobbiamo cercare il numero di colonne visualizzate nella pagina, e chi conosce SQL sà che il comando che fa al caso nostro è ORDER BY.
Il nostro compito è quello di partire da ORDER BY 1, ed aumentare man mano di 1 in 1, fin quando non riceveremo un errore. Dato che la nostra è una richiesta booleana, quando riceveremo un errore, significherà che il numero di colonne è quel numero inserito nell'url - 1, infatti richiedendo quella tabella tramite ORDER BY il riultato sarà true.

Esempio: Il numero di colonne è 6, infatti la richiesta 7 è false, mentre la 6 è true.
Una volta trovato il numero di colonne dobbiamo cercare il nome delle tabelle. In questo caso si utilizza il comando UNION SELECT e si fa riferimento all'information shema, che è accessibile solo nella versine 5 di MySQL, nella 4 dobbiamo affidarci ad un bruteforce (vedi 0x07).
P.s: se non sapete cos'è l'information schema, vi rimando a google prima di continuare Con questo comando, visualizzeremo le 6 tabelle dall'information_schema e nella page dovrebbe essere visualizzato almeno uno dei numeri elencati nella nostra query, ognuno di quei numeri, verrà sostituito con table_name, ad esempio: In questo modo la tabella sostituita con table_name dovrebbe essere visualizzata, e quindi avremo il nome della tabella numero 4.
Adesso che abbiamo il nome di una tabella possiamo scorrere le altre fino a trovare quella con i dati che ci interessano. Dobbiamo quindi richiedere al database di visualizzare il nome della tabella successiva, o precedente, e per farlo usiamo il comando WHERE: Con questo comando scorreremo le tabelle, quindi potete ripeterlo fino a quando non troverete quella desiderata.
Ora che abbiamo la tabella giusta, dobbiamo trovare le giuste colonne, cioè quelle che contengono i dati che ci permetteranno l'accesso al sito. Quindi, visualizzeremo il nome di una colonna, inserendo il nome della tabella che abbiamo trovato prima: nel nostro caso la tabella sarà "users": Trovato il nome di una colonna (ad esempio us_log), dobbiamo scorrerle tutte come abbiamo fatto per le tabelle, quindi aggiungiamo un AND alla nostra query, che diventerebbe "seleziona il nome della colonna dall'information_schema dove il nome della tabella è 'users' e il nome della colonna è successivo alla colonna us_log".

Questo passo è quello che ci permette di ricavare i nomi delle colonne che ci interessano, e nel nostro caso stiamo parlando delle colonne che contengono i dati di accesso, quindi andiamo ad intuito, poichè nella maggiorparte dei casi queste colonne contengono parole come "user_name, username, login_name, user_password, password", e insomma tutto ciò che ha a che vedere con username e password.

Ora che abbiamo finalmente trovato le colonne che ci interessano dobbiamo visualizzare i dati che raccolgono, per far questo usiamo la funzione group_concat, e per dividere i records (username, password) usiamo i due punti, ossia ":", identificati da 0x3a3a.

Nota 1: talvolta gli utenti sono più del previsto, e in tal caso, identificare un user che abbia l'accesso alle modifiche non si rivela una cosa facile. Per questo ci viene in aiuto la colonna id_group (talvolta il nome può cambiare) che ci restituisce il numero del gruppo a cui appartiene l'user, e quello degli amministratori è sempre il primo, ossia 1, il primo ad essere creato.

Quindi, l'url andrà a diventare: Naturalmente andremo a sostituire username e password con le colonne che abbiamo trovato prima. Nel caso si verificasse una situazione specificata nella Nota 1, basterà aggiungere la visualizzazione di un record in più: così facendo, visualizzeremo l'id del gruppo a cui appartiene l'user e questo ci permette di trovare l'amministratore più facilmente, anche nel caso quest'ultimo abbia un username diverso da "admin" o vari, che potrebbe essere "fabrizio, alessio", e in questo caso ci viene aiuto il group_id.

0x03 Come difendersi

Difendersi da questo tipo di attacco è molto semplice ed intuitivo, infatti basta analizzare l'url per capire dov'è l'errore.
Nel caso dell'authentication bypass tutto sta nel controllare le variabili $username e $password, questo può essere gatto con la funzione mysql_real_escape_string(), che ci permette di "escapare" le stringhe, in modo da sostituire eventuali apici con \', doppi apici con \" e vari.
Per quanto riguarda il secondo tipo di attacco, la soluzione è intuitiva come dicevo prima, poichè il dato che riceviamo tramite $_GET, è un intero, quindi ci basta verificare con is_numeric la variabile $id, come nel seguente esempio: Questo semplice spezzone ci aiuta ad evitare una vulnerabilità di SQL Injection sul nostro website, in maniera semplice e intuitiva. Anche in questo caso, avremmo potuto usare la funzione mysql_real_escape_string(), il risultato sarebbe stato lo stesso, ciò che ci occorre è controllare la variabile $id, per evitare che possa assumere valori che possano alterare il database MySQL.

0x04 Blind SQL Injection

Questa è la parte più difficile, in quanto, come "spiega" il nome, dovremo procedere in una maniera "cieca". Infatti una vulnarebilità di tipo blind sql injection si differenzia da un'iniezione normale perchè il server ci risponderà soltanto con un dato di tipo bool, quindi true o false, e non mostrerà i nomi delle colonne o delle tabella; dovremo andare a cercarli da soli, carattere per carattere, tabella per tabella, colonna per colonna. Questo forse potrà spaventare un po' il lettore, ma andando avanti e leggendo tutto l'articolo si vedrà che infine non è così difficile come sembra.
Come scritto sopra, il server risponde con true o false, e questo l'avevamo già visto nelle iniezioni del tipo più semplice, per verificare l'eventuale vulnerabilità dell'url con AND 1=2.
Il metodo è sempre lo stesso, si verifica con una condizione AND (e relativa controprova).

Prendiamo in esame lo stesso link di prima: Ora andiamo avanti, dobbiamo sapere qual'è la versione di MySQL, 4 o 5, e per questo usiamo la funzione @@version: Qualora il server ci rispondesse in maniera corretta con il primo link, la versione di mySQL sarà la 4, in caso contrario, se la risposta fosse false con il primo test e true con il secondo, la versione sarà la 5.

Nota 2: qualora testando la vulnerabilità ci accorgessimo che è possibile usare le iniezioni normali, è buona norma usare questa prima opzione, invece che cimentarsi in una blind SQL Injection.

Una volta che abbiamo la versione del database dobbiamo estrarre i nomi delle tabelle, stesso procedimento di prima ma stavolta si procede carattere per carattere: dovremo quindi usare la funzione substring: Nota 3: sia chiaro che, se la versione di mysql fosse la 4, l'information_schema non è accessibile, e per questo vi rimando al punto 0x07

La query appena testata interroga il database, chiedendo se il primo carattere (,1,1) della prima tabella (limit+0,1) del database è maggiore della "c", quindi è un carattere susseguente alla c. Ricordate che bisogna usare il codice ASCII del carattere, in questo caso 99 => 'c'
Qualora la risposta fosse true, aumenteremo, quindi passeremo a 110, insomma qui bisogna usare un metodo "brute force" a mano, vediamo: Bene, dopo vari test siamo arrivati alla conclusione: la prima tabella ha un nome che comincia per "a" (97 => 'a'). Ora possiamo passare al secondo carattere del primo record, con: Come potete vedere, ora la substring estrae un carattere, il secondo del primo record. Effettuando i vari test come prima, riceviamo i seguenti dati:

1,1 : a
2,1 : l
3,1 : b
4,1 : e
5,1 : r
6,1 : o

Ora possiamo passare al secondo record aumentando LIMIT di 1 e così via, fin quando non troveremo una tabella che fa al caso nostro, come ad esempio "admin, users, user_list, account, membri" o quello che più somiglia ad una tabella contenente i dati di accesso al website.
Ora come controprova, per verificare l'esistenza della tabella, possiamo utilzzare il comando SELECT, in questo modo: In questo caso si suppone che la tabella abbia come nome "admin". La risposta dovrebbe essere true, salvo casi super-mega-stra-eccezionali. Ora viene il momento delle colonne e qui ci tocca "indovinare" i nomi, quindi anche stavolta substring fa al caso nostro: Ora, se la colonna user_password non esiste ci sarà una risposta false, quindi, andando ad intuito, cerchiamo le colonne che contengono i dati, e una volta trovate passiamo all'estrazione dei dati via ASCII in un modo simile all'estrazione dei caratteri delle tabelle: E procediamo allo stesso modo di prima, cercando i giusti caratteri che compongono la password.
P.s: la password sarà finita quando riceverete un errore per qualsiasi carattere

Una volta trovata, la password può o non può trovarsi sotto forma di hash; in questo caso vi rimando al sito http://www.passcracking.com/ che al momento ha una marea di hashes nel database, quindi se non riuscite a decriptarla lì, cambiate l'user e andate avanti

Bene, avete visto come sia facile e allo stesso tempo difficile sfruttare una blind sql injection.

0x05 Come difendersi

Diciamo che il contenuto qui esposto, in fin dei conti è uguale a quello del paragrafo 0x04, quindi il metodo per difendersi è lo stesso: controllare le variabili acquisite usando la funzione is_numeric() o mysql_real_escape_string(), a seconda di come vi trovate più a vostro agio.

0x06 Facilitiamo il lavoro?

Forse questo sarà il paragrafo più interessante perchè mostra come facilitarsi il lavoro di effettuare un'inezione normale o blind.
Utilizzeremo come esempio due tools chiamati darkMySQLi e Blindext, entrami scritti in Python e creati da Rsauron del team darkc0de. I tools possono facilmente essere trovati sul forum di rsauron, quindi vi rimando lì per scaricarli.
Ora vi chiederete, come possono dei tools in Python aiutarmi?
La risposta è semplice: questi due tool dumpano il database mysql in base ai dati che voi fornirete, e listeranno le tabelle, poi le colonne e infine, se vorrete, anche i records contenuti: il secondo, come identificato dal nome, serve per le blind injection, quindi il sistema funziona come un "brute force" facendo il lavoro che noi dovremmo fare a mano, di conseguenza il dumping sarà un po' lento.

Passiamo ora a presentare le funzionalità di darkMySQLi.py :
Grazie a questo tool possiamo effettuare tutti i passi precedenti con un minimo sforzo.
La prima opzione che ci presenta è --findcol: ci permette di trovare il numero di colonne visualizzate nella pagina(ORDER BY) e ci restituirà 2 link:
1) se vogliamo proseguire l'iniezione a mano
2) il link formattato da passare come parametro al tool per dumpare il database
La sintassi è la seguente: Ricordo anche che nel caso la versione di mySQL fosse la 4 (vi ho rimandato qui prima) dovremo usare l'opzione --fuzz con il link formattato, e in questo modo si tenterà un brute force per trovare i nomi di tabelle e colonne. Per questa opzione leggere bene il README, contiene istruzioni più specifiche.

Una volta trovate tabelle e colonne possiamo trovare i dati via url o farceli dire direttamente dal tool, in questo modo: Il nome del database è visibile durante l'esecuzione con il parametro --full.

Passiamo ora a blindext.py, il tool che ci aiuta nello sfruttare le blind sql injection.
Il tool esegue il brute force e riconosce se una richiesta viene ritornata come true o false grazie a un parametro che noi passeremo, che contiene una stringa contenuta nella pagina o nell'articolo. In questo modo, se la stringa sarà presente, la richiesta riceverà un valore true, altrimenti false. Non inserite stringhe contenenti voci di menu o sotto i banner o comunque che vengono sempre visualizzate, questo è un errore comune.
Prendiamo in esame quest'esempio, in cui la stringa che ci serve è "Nel dicembre 2008 sono mo", vediamo come ottenere informazioni sul database: Tra i risultati ottenuti quello che ci occorre è il nome del database, ad esempio db_ciao, quindi ora andiamo ad estrarre i dati: Ora piano piano, carattere per carattere (come d'altronde facevamo noi prima a mano) vedremo i nomi di tabelle e colonne. L'opzione schema serve a trarre i dati dall'information_schema.
Vediamo ora come visualizzare i records, con l'opzione –dump (in questo caso la sintassi risulta simile a quella usata con darkMySQLi.py): Questo visualizza i record delle colonne user e password nella tabella users, i dati sono da cambiare con i vostri.
Una volta ottenuti i record che servono, si potrebbe effettuare l'accesso e avvisare l'admin.

Come avete potuto notare questi tool facilitano molto il lavoro, non tanto per le iniezioni normali ma bensì per le cieche, perchè nel caso dovessimo dumpare più di 40 tabelle, fare tutto a mano diventa un suicidio, le richieste potrebbero essere più di una migliaia (potrebbero? sono!), e farle tutte a mano diventa veramente una cosa impossibile

0x07 Note finali

Leggendo questo articolo, sicuramente ora avrete imparato a identificare sql injection e blind sql injection, a sfruttarle e soprattutto a difendersi da questo tipo di vulnerabilità.
Durante la creazione di un sito web dinamico ricordatevi sempre di controllare qualsiasi variabile venga inviata dall'esterno, o via GET, o via POST.

L'ultima nota che volevo esporvi, riguarda l'aspetto etico:
io vi ho mostrato come sfruttare questo tipo di vulnerabilità, quindi, una volta ottenuti i dati di accesso, sta a voi decidere se entrare e avvisare con un piccolo link, avvisare tramite mail, o ownare completamente il website, questa è una vostra decisione.
Mi auguro che prendiate sempre la giusta strada, e miglioriate questo web.

---

Il Pitone di Van Rossum

Python. Alzi la mano chi non ha mai sentito parlare di questo linguaggio. Mmmm... non ne vedo molte. Beh, c'era da aspettarselo.
Chi non conosce Python? Ormai navigando per il web si trova dappertutto. Se ne parla come un ottimo linguaggio, facile, potente, flessibile. Ma cosa avrà di tanto speciale questo semplice linguaggio di scripting interpretato che lo rende così amato dalla gente?

Come tutti sappiamo Perl domina nel campo dello scripting: sintassi favolosa, ottime potenzialità grazie ai "geni" ereditati dal C, flessibilità ottima; caratteristiche  che lo rendono più che adatto per la scrittura di semplici applicazioni in poco tempo.
Ma da qualche tempo, Python è diventato il "rivale" di quest'ottimo linguaggio. Facilità, portabilità, potenza, flessibilità. Queste sono le caratteristiche che rendono il Python così amato dalla gente, sia esperta che non, e che fanno del linguaggio un ottima scelta per lo sviluppo di semplici, ma anche potenti, applicazioni.

Guido Van Rossum, ideatore del linguaggio, iniziò il progettò con dei chiari obiettivi: creare un linguaggio semplice, open source e dalle potenzialità da non invidiare ai suoi simili.
Al giorno d'oggi, dopo le varie release, questi obiettivi sono sicuramente stati raggiunti, e Van Rossum non può che essere soddisfatto del lavoro svolto.

Perchè Python?

Python  offre ad esempio una gestione delle eccezioni piuttosto avanzata: dispone di due comandi, try ed except, che permettono di gestire in modo eccellente le eccezioni, di qualsiasi tipo siano. È possibile addirittura gestire eccezioni generate da errori di sintassi. L'esempio mostra come è semplice la gestione degli errori, ad esempio paragonata con "return (n)" di C.
Esiste anche un terzo comando, raise, che permette di sollevare un'eccezione intenzionalmente.

Per aggiungere un esempio delle tante utili proprietà, Python offre un'altra caratteristica decisamente interessante.
Oltre all'utilizzo dei suoi file avviati richiamando l'uso dell'interprete: è possibile ricorrere all'interprete interattivo, una cosa che al "rivale" Perl manca, attraverso il quale è possibile scrivere righe di codice ed eseguirle immediatamente.
L'interprete interattivo è adatto soprattutto a chi si avvicina al linguaggio per le prime volte, ma anche esperti possono usufruirne con dei vantaggi: infatti  è utile per testare piccole righe di codice prima di inserirle nel programma che si sta sviluppando, e rappresenta quindi per il  programmatore una sorta di "comodità" durante lo sviluppo delle proprie applicazioni. Certo che la sola comodità di testare il codice e gestire gli errori non crea automaticamente un buon linguaggio; sono ben altre le cose che si richiedono.
Python è un ottimo linguaggio object oriented, che si presta bene anche alla programmazione funzionale o strutturata.
Le caratteristiche della sua potenza sono varie: oltre all'orientazione agli oggetti, offre ad esempio DB-API, una raccolta di moduli per la gestione di database decisamente ben fornita di funzionalità; altra caratteristica importante è la possibilità di usare diversi toolkit grafici per la creazione di GUI; dispone di una libreria per lo sviluppo di videogiochi, Pygame; dispone di una vasta libreria standard, da moduli per la gestione di stringhe a moduli per la gestione delle espressioni regolari, da moduli per la gestione di socket a moduli per la gestione di thread. Inoltre se ne possono aggiungere altri, scritti stesso in Python, o C(++): in giro per il web infatti si possono trovare migliaia di moduli aggiuntivi, in pieno stile open-source.
Non occorre dire come la gestione dei moduli sia di una semplicità assoluta, anche tramite l'interprete interattivo: In questo esempio utilizzo la funzione randint contenuta nel modulo random.
La prima riga, import random, carica il modulo in modo da mettere a disposizione le funzioni in esso contenute.
La seconda riga usa la funzione randint contenuta nel modulo. Questa funzione genera un numero casuale compreso tra due numeri passati come argomenti (in questo caso tra 1 e 90).
Da notare che è scritto random.randint(1,90) e non randint(1,90). Questo perchè bisogna mettere sempre il nome del modulo davanti alla funzione. Per evitare questa piccola scomodità, avremmo potuto fare in questo modo: Nel primo esempio diciamo all'interprete di caricare solo la funzione randint contenuta nel modulo random. In questo modo non possiamo usare le altre funzioni del modulo.

Nel secondo invece diciamo all'interpete di caricare tutte le funzioni contenute nel modulo.
I moduli permettono lo sviluppo di applicazioni potenti e complesse.
Potete trovare la Library Reference a questo indirizzo: http://docs.python.it, scaricabile in diversi formati. In quel documento troverete tutti i moduli utilizzabili, con la relativa spiegazione delle loro funzioni.

Per ulteriori conferme sulle grandi potenzialità di Python, vi rimando a http://www.python.it/Quotes.html. Subito saltano fuori due importanti nomi che tutti conosciamo: Google e NASA.
Ma i nomi presenti nella pagina linkata non sono i soli ad aver scelto Python:
RedHat ha implementato il proprio tool di installazione in Python
Yahoo ha usato Python per lo sviluppo di alcuni servizi web
Infoseek per i propri prodotti per la ricerca sul web.
Popolari applicazioni scritte interamente in Python sono Emesene, famoso client MSN utilizzato in ambiente Unix, e XChat, famoso client IRC, entrambi naturalmente open-source.

Inoltre Python dispone di un framework di tutto rispetto, Twisted, con il quale fare applicazioni web potenti ed in poco tempo è davvero roba da niente. Twisted permette lo sviluppo di vari tipi di applicazioni web, ed è dotato di alcuni dei maggiori protocolli diffusi nel web (SMTP e HTTP, giusto per citarne due). Implementare applicazioni utilizzando Twisted è davvero uno spasso; inoltre, i risultati sono davvero soddisfacenti.

Come già accennato sopra, Python offre la possibilità di scegliere tra diversi toolkit grafici per lo sviluppo di  GUI.
La libreria standard è Tkinter, derivata dalle librerie Tcl/Tk, ma nonostante siano molto semplici da utilizzare e siano leggere, sono nettamente inferiori alle altre librerie grafiche.
Ad esempio creiamo una semplice finestra vuota: (sì, solo questo...che ti credevi...)

PyGTK, PyQt e wxPython sono le librerie grafiche che producono GUI di un certo livello, basate rispettivamente sui toolkit GTK+, Qt e wxWidgets.
Ognuna ha i propri pregi e difetti naturalmente, ma sembra che la più amata sia PyQt.

Unita alle potenzialità appena descritte c'è la facilità ad apprendere questo splendido linguaggio.
Python è un linguaggio incredibilmente semplice da imparare e da usare, grazie alla sua sintassi facilmente comprensibile.
Anche per chi non conosce il linguaggio, leggere un sorgente in Python risulta praticamente immediato.
Alcuni ritengono che la sintassi del Python sia piuttosto irritante, in quanto obbliga il programmatore ad usare l'indentazione. Infatti Python non fa uso delle classiche parentesi graffe per i blocchi di istruzioni, ma si basa semplicemente sull'indentazione.
Per fare un esempio, diamo uno sguardo a questo codice in C: Questo è l'equivalente in Python: I ":" rappresentano l'inizio del blocco, dopo dei quali si trovano le istruzioni indentate di un tab. Quando l'interprete non trova più righe di codice indentate, capisce automaticamente che il blocco è finito.
A mio parere, l'obbligo dell'indentazione è un'ottima cosa, in quanto vengono prodotti sorgenti compatti e facilmente leggibili; inoltre, anche il programmatore più "sfaticato" si ritroverebbe di fronte a quest'obbligo, e questo non può far altro che "educarlo", visto che un codice non indentato... ...fa... sì, direi che schifo sia l'aggettivo più adatto.
Fortunatamente il codice scritto sopra non funziona... ...molto meglio così!

Negli anni Python si è diffuso, arrivando a formare una vera e propria comunità.
Esempio lampante è il Pycon, una conferenza organizzata dai membri della comunità stessa, durante la quale si discute su vari argomenti riguardanti il linguaggio.
Pycon viene tenuto in diversi paesi, tra i quali l'Italia, dove sono state già tre le conferenze tenute. L'ultima risale all'8 Maggio 2009, tenuta a Firenze, durante la quale non sono mancati ospiti di grande fama, quale Guido Van Rossum, tanto per citarne uno.
Per maggiori informazioni potete consultare il sito ufficiale di Pycon Italia, www.pycon.it.

La portabilità è il maggiore punto di forza di Python. Lo stesso codice funzionerà su GNU/Linux, Mac e Windows senza alcun problema di compatibilità, dando agli utenti che ne usufruiscono la possibilità di utilizzare il programma sull'OS che preferiscono.
Al massimo qualche leggero problema può essere causato dall'uso di alcune librerie, ma in tal caso è specificato nella documentazione su quale piattaforma girano.
Python è inoltre utilizzabile anche per lo sviluppo di applicazioni che girano su PSP.
Inoltre esistono varie implementazioni di Python.
La più conosciuta è sicuramente Jython, un'implementazione Python scritta interamente in Java, la quale permette di compilare codice Python e tradurlo in codice Java, che può essere passato su qualsiasi Java Virtual Machine.
Altre implementazioni conosciute sono Pys60, per lo sviluppo di applicazioni su dispositivi che hanno come sistema operativo Symbian, e IronPython, l'implementazione di Python per la piattaforma .NET di casa Microsoft.

Infine, per quanto riguarda le perfomance, direi che Python è sulla linea dei suoi simili, quali PHP, Ruby e Perl, anche se quest'ultimo è sicuramente superiore. Non può essere paragonato naturalmente con linguaggi compilati come il C, ma in alcuni casi può essere competitivo anche con Java.

Conclusione

Beh, questo è tutto cari lettori. Spero di non avervi annoiato e di aver scritto un articolo soddisfacente.
Ho cercato di spiegare al meglio le caratteristiche del Python, spiegando i motivi per i quali fare qualche script con questo linguaggio non farebbe male.
Vi consiglio vivamente di approfondire tutti gli argomenti trattati e non, consigliandovi alcune guide davvero utili e complete.
Un documento molto interessante è ad esempio "Pensare da informatico", scaricabile all'indirizzo:
http://python.it/doc/newbie.html
Questa è una guida completa, adatta soprattutto ai principianti.

Poi naturalmente vi consiglio il tutorial ufficiale, scritto da Van Rossum, che trovate all'indirizzo:
http://docs.python.it

Alla prossima!

---

---

UnderAttHack n.4 Quest'opera, escluso dove diversamente indicato, è pubblicata sotto una Licenza Creative Commons
http://underatthack.altervista.org	underatthack@gmail.com