bueno me imagino que la mayoría sabe como hacer SQL injection o por lo menos conceptos básicos (Por decir escribir una consulta en una caja de texto), pero como se puede hacer SQL injection desde un control NO Editable (Ejemplo combo box), ¿Como puedo cambiar el valor de un combo que es mandado al servidor?. Gracias por su ayuda.
-
¿Por qué no simplemente haces peticiones personalizadas?– gugadevCommented el 26 jul. 2016 a las 15:45
-
y eso se lo hace .....? como???– RSillericoCommented el 26 jul. 2016 a las 15:49
-
Tienes muchas herramientas a disposición, de todo nivel, desde aplicaciones de terminal como curl, httpie hasta addons para Firefox/Chrome como TamperData, Modify headers, Postman, etc. Te recomiendo estudies pentesting y uses Kali.– gugadevCommented el 26 jul. 2016 a las 16:04
-
Efectivamente logro cambiar los valores, pero al momento de procesar la petición, la procesa como si no hubiese cambiado nada (la página web esta en asp.net). Ejemplo, el cambo tiene el valor 1 y 2, inspeccionando elementos le cambio el valor a 3 y envío ese 3, pero no procesa ese 3, procesa como si hubiese enviado el 1.– RSillericoCommented el 26 jul. 2016 a las 18:51
2 respuestas
De una manera más tradicional, haciendo uso de un navegador: Click derecho, inspeccionar elemento, doble click en el código que quieras cambiar y lo cambias, por ejemplo le quitas el "disabled", cambias los valores del drop-down que mencionas y así. Toda esta información fue escrita con fines académicos, no me hago responsable por daños y perjuicios que puedan realizar haciendo uso mal intencionado de la presente respuesta.
Para mayor información sobre las inyecciones SQL
y otras vulnerabilidades en aplicaciones web, les recomiendo visitar OWASP
para intercertar la petición al servidor y ahí inyectar tu código sql, java Script, etc; puedes utilizar Burp Suite, está herramienta cuenta con una versión free la cual puedes configurar para alterar las peticiones al servidor, realizar inyección y programar scripts. otra opción es usar ZAP que es una herramienta de penetration testin basada en el top ten OWASP.
Burn : https://portswigger.net/burp/
Saludos