Merhaba Bugün Sql Açık Tespiti-Sqlmap İle Database Çekimi Yapacağız Ve En Sonunda Databasesini Çektiğimiz Siteye İndex Atacağız.
Evet Sqlmap İle Site Hacklemek Gibi Birçok Konu Var Fakat Çoğunda İndex Atmayı Değil Sadece Database Çekmeyi Göstermişler Bende Hepsini Tek Bir Konuda Anlatayım Dedim.
1- DORK TARAMA VE SQL AÇIK TESPİTİ
İlk Öncelikle Dork Oluşturmayı Bilmeyenler Ghost Hocamın Konusuna Bakabilirler; https://www.turkhackteam.org/konular/dork-yazma-ve-genel-terimler.2013922/
Tarama Yapacağım Dorkum
Olacak Taramaya Başlayalım.
Evet Aramaya Başladıktan Sonra Herhangi Birtanesine Giriyorum.
Sonrasında İse Girdiğim Sitedeki Cat Değerinin Yanına ' İşareti Koyuyorum.
' Koyduktan Sonra, sql syntax hatası veriyorsa,sayfa gidiyorsa, veya Herhangi Bir Veri Kaybı Oluyorsa
Sitede SQL Açığı Olma İhtimali Vardır. Benim Girdiğim Sitede ' Koyunca SQL Syntax Error Verdi
(Bu Hatadan Yola Çıkarak Güzel Dorklar Oluşturup Birsürü Açıklı Site Bulabilirsiniz)
2- DATABASE ÇEKİMİ
Linux İşletim Sistemlerinde SQLMAP kurulu olarak geliyor zaten
Windows İçin Buradan İndirebilirsiniz
Linux İşletim Sistemimde Terminalimi Açıyorum
--random-agent: waf ve ıps'i atlatmak için rastgele bir browser agent kullanır.
--dbs : sitenin databasesini çeker
--batch : Sqlmapin Sorduğu Y/N Sorularına Otomatik Cevap Verir
Enter'a bastım ve çekmeye başladı
DB'leri Çekti Şimdi İse Bunların İçindeki Tablolara Bakacağız.
Evet Çektik Tabloları:
Biz İndex Basacağımızdan Dolayı Admin Bilgileri Lazım Onun Yüzünden Direk User'ı Dump Ediyorum(içindeki verileri çekmek)
çıktımız şu şekilde olacak:
Sizin Çektiğiniz Bu Kadar Karmaşık Olmayabilir 2. Satırdaki Hashli Şifreyi hashes.com'dan Kırmayı Denedim Ve Başarılı Oldum.
İNDEX BASMA
Sırada Admin Paneli Bulmak Var Sitenin Sonunda /admin.php,/admin/login.php denedim ve 2. sinde başarılı oldum sırada
sadece kullanıcı adı şifreyi girerek index basmak kaldı terminalimdeki kullanıcı adlarını sıra sıra denedim ve sonunda biri doğru çıktı
Login Diyerek Panele Giriyoruz.
Buradan Pages Settings'e Giriyoruz sizin girdiğiniz panelde pages şeklinde yazabilir.
şimdi ise sadece index kodlarını yapıştırmak var index kodlarını yapıştırıyoruz ve ana sayfaya dönüyoruz
(Bazı Yerleri Blurlamamın Sebebi Yeni Başlayan Ve Öğrenmek İsteyenlerin Direk Girmesi Değil Öğrenerek Yapmasıdır)-(ANLAYAMADIĞINIZ YERLERİ ÖZELDEN SORABİLİRSİNİZ)
ZONE:
Mirror-h
Ownzyou
archive.is
Evet Sqlmap İle Site Hacklemek Gibi Birçok Konu Var Fakat Çoğunda İndex Atmayı Değil Sadece Database Çekmeyi Göstermişler Bende Hepsini Tek Bir Konuda Anlatayım Dedim.
1- DORK TARAMA VE SQL AÇIK TESPİTİ
İlk Öncelikle Dork Oluşturmayı Bilmeyenler Ghost Hocamın Konusuna Bakabilirler; https://www.turkhackteam.org/konular/dork-yazma-ve-genel-terimler.2013922/
Tarama Yapacağım Dorkum
Kod:
inurl:product.php?cat= site:myEvet Aramaya Başladıktan Sonra Herhangi Birtanesine Giriyorum.
Sonrasında İse Girdiğim Sitedeki Cat Değerinin Yanına ' İşareti Koyuyorum.
' Koyduktan Sonra, sql syntax hatası veriyorsa,sayfa gidiyorsa, veya Herhangi Bir Veri Kaybı Oluyorsa
Sitede SQL Açığı Olma İhtimali Vardır. Benim Girdiğim Sitede ' Koyunca SQL Syntax Error Verdi
(Bu Hatadan Yola Çıkarak Güzel Dorklar Oluşturup Birsürü Açıklı Site Bulabilirsiniz)
2- DATABASE ÇEKİMİ
Linux İşletim Sistemlerinde SQLMAP kurulu olarak geliyor zaten
Windows İçin Buradan İndirebilirsiniz
Linux İşletim Sistemimde Terminalimi Açıyorum
Kod:
sqlmap -u hedefsite.com --random-agent --dbs --batch--random-agent: waf ve ıps'i atlatmak için rastgele bir browser agent kullanır.
--dbs : sitenin databasesini çeker
--batch : Sqlmapin Sorduğu Y/N Sorularına Otomatik Cevap Verir
Enter'a bastım ve çekmeye başladı
DB'leri Çekti Şimdi İse Bunların İçindeki Tablolara Bakacağız.
Kod:
sqlmap -u hedefsite.com --tables -D dbismi --batchEvet Çektik Tabloları:
Biz İndex Basacağımızdan Dolayı Admin Bilgileri Lazım Onun Yüzünden Direk User'ı Dump Ediyorum(içindeki verileri çekmek)
Kod:
sqlmap -u hedefsite.com --columns -T tabloismi -D dbismi --batch --dumpçıktımız şu şekilde olacak:
Sizin Çektiğiniz Bu Kadar Karmaşık Olmayabilir 2. Satırdaki Hashli Şifreyi hashes.com'dan Kırmayı Denedim Ve Başarılı Oldum.
İNDEX BASMA
Sırada Admin Paneli Bulmak Var Sitenin Sonunda /admin.php,/admin/login.php denedim ve 2. sinde başarılı oldum sırada
sadece kullanıcı adı şifreyi girerek index basmak kaldı terminalimdeki kullanıcı adlarını sıra sıra denedim ve sonunda biri doğru çıktı
Login Diyerek Panele Giriyoruz.
Buradan Pages Settings'e Giriyoruz sizin girdiğiniz panelde pages şeklinde yazabilir.
şimdi ise sadece index kodlarını yapıştırmak var index kodlarını yapıştırıyoruz ve ana sayfaya dönüyoruz
(Bazı Yerleri Blurlamamın Sebebi Yeni Başlayan Ve Öğrenmek İsteyenlerin Direk Girmesi Değil Öğrenerek Yapmasıdır)-(ANLAYAMADIĞINIZ YERLERİ ÖZELDEN SORABİLİRSİNİZ)
ZONE:
Mirror-h
Ownzyou
archive.is
Son düzenleme:
