Scribd
Cargar
33 vistas4 páginas

Pruebas de SQL Injection en DVWA

Este documento describe el método de ataque SQL Injection y cómo se puede usar para acceder y modificar bases de datos de forma maliciosa. Explica que se probará este ataque usando la herramienta Metasploitable 2 y su página web DVWA con diferentes niveles de seguridad (bajo, medio y alto), y que con un nivel bajo de seguridad la base de datos está muy expuesta a este ataque.

Cargado por

Carlos Ayo
Derechos de autor
© All Rights Reserved
Nos tomamos en serio los derechos de los contenidos. Si sospechas que se trata de tu contenido, reclámalo aquí.
Formatos disponibles
Descarga como PDF, TXT o lee en línea desde Scribd
33 vistas4 páginas

Pruebas de SQL Injection en DVWA

Este documento describe el método de ataque SQL Injection y cómo se puede usar para acceder y modificar bases de datos de forma maliciosa. Explica que se probará este ataque usando la herramienta Metasploitable 2 y su página web DVWA con diferentes niveles de seguridad (bajo, medio y alto), y que con un nivel bajo de seguridad la base de datos está muy expuesta a este ataque.

Cargado por

Carlos Ayo
Derechos de autor
© All Rights Reserved
Nos tomamos en serio los derechos de los contenidos. Si sospechas que se trata de tu contenido, reclámalo aquí.
Formatos disponibles
Descarga como PDF, TXT o lee en línea desde Scribd

LABORATORIO – SQL INJECTION

Carlos Ayo Zamora: [Link]@[Link]

En este laboratorio pondremos en practica el método de ataque web llamado SQL Injection.
Sql Injection ó Inyección SQL es una vulnerabilidad que permite al atacante enviar o “inyectar”
instrucciones SQL de forma maliciosa y malintencionada dentro del código SQL programado
para la manipulación de bases de datos, de esta forma todos los datos almacenados estarían en
peligro. La finalidad de este ataque es poder modificar del comportamiento de nuestras
consultas a través de parámetros no deseados, pudiendo así falsificar identidades, obtener y
divulgar información de la base de datos (contraseñas, correos, información relevante, entre
otros), borrar la base de datos, cambiar el nombre a las tablas, anular transacciones, el atacante
puede convertirse en administrador de esta.

A continuación, realizaremos pruebas de seguridad mediante el uso de la herramienta Metasploitable 2


y su página web DVWA:

1. Entraremos mediante la IP de la máquina virtual metasploitable 2 ingresando a la configuración


DVWA, creando una base de datos aleatoria y probando sus niveles de seguridad los cuales son
LOW, MEDIUM y HIGH.
2. Aquí podemos ver que con una
medida de seguridad LOW la pagina
web y su base de datos está
críticamente expuesta a un ataque
por SQL Injection, con una medida
MEDIUM se produce un error lo
cual no expone vulnerabilidades pero
indica que puede ser atacado, en el
nivel HIGH no arroja ningún tipo de
vulnerabilidad a ataques.
En esta imagen logramos ver como con un nivel de seguridad bajo, una pagina web está
extremadamente vulnerable ya que con unos pocos comando podremos extraer la base de datos
de los usuarios registrados en la pagina DVWA como se muestra a continuación.

CONCLUSIÓN:
Después de realizar pruebas con varios niveles de seguridad damos como comprobado las
vulnerabilidades siempre existen, solo es cuestión de buscar bien entre las líneas de código ya
que con un simple ataque de SQL Injection podemos recuperar información bastante
confidencial por lo que las medidas de seguridad siempre son indispensables, sobre todo si se
trata de un sitio web en el que se maneja información de pagos o similares de los usuarios.

También podría gustarte