언제나 공사중! :: SQL Injection 프로그램의 소스를 보다..

SQL Injection 프로그램의 소스를 보다..

일/Windows 2005/08/16 01:38

2시간의 노력 끝에 우연하게 SQL Injection관련 소스를 찾아냄. 보고나니 참 대단하다는 생각 밖에는... 우에에~~ 이거 생각했던 것보다 더 잘 만들었잖아? 단순히 SQL에 ID/PW를 찾아내는 것이 문제가 아니네... 보니까 잘 만들었네.. 배워서 써먹도록 훈련을 해야겠다.

SQLSERVERAGENT도 막 돌리고... 계정도 이쁘게 만들어주고..

눈에 띄는 부분들이라면...

Url+ and (Select count(1) from [sysobjects])>=0) then
......
// 요건 아마도 URL에 쿼리를 날려서 사용자 정보를 얻는 것이겠지?

Url+ and |+@@version+|>0
// 요건 버전을 확인??

Url+ And |+db_name()+|=0
// 요건 DB명을 같은데...

아아.. 중간 생략이다.. 너무 보기가 귀찮다..
어랏..중간 넘어서 이런거 발견!!

master..xp_servicecontrol start,SQLSERVERAGENT
// SQL Server Agent도 실행하네...

MASTER..XP_CMDSHELL +CommandStr+>C:Command_Tmp.log......
// 오오... CommandStr을 받아서 실행하고 이 결과를 Command_Tmp.log 파일로 로그를 남기는군..

놀라워라~ 개발자들 많이 힘들겠다. 이런거 보면.....