SQL injection 실습

 

https://pentesterlab.com/exercises

PentesterLab: Our exercises

우선 실습을 위해 연습용 서버 하나를 설치해준다

#sqli vmnet10
ifconfig eth0 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255 up

#kali vmnet10
ifconfig eth0 192.168.1.200 netmask 255.255.255.0 broadcast 192.168.1.255 up

kali와 sqli 서버 ip를 설정해주고 가상 kali 와 window에서 ping 으로 통신이 되는지 확인하고

window에서 해당 주소로 접속이 되는지 확인한다

접속이 잘되면 kali에서 sqlmap을 해보고

script도 넣어보면서 취약점이 있는지 확인한다

db 이름을 확인해보고

db내용을 확인해본다

공격용 php 파일을 업로드하려하면 안된다 확장자를 대문자로 변경해보니 된다

파일을 올리고 해당 페이지의 소스코드를 확인해보니 파일이 업로드 된 경로가 보인다

해당 경로로 접속해 보니 잘 접속된다