मैं "EXEC @sql" का शोषण कैसे करूं?

Question

मेरा सहकर्मी अपने कोड से असुरक्षित है और सर्वर को सर्वर पर चलाने के लिए एक SQL फ़ाइल अपलोड करने की अनुमति दे रहा है। उन्होंने स्ट्रिप्स ऐसे "EXEC", "DROP", "UPDATE", "INSERT", "TRUNC"

मैं उसे उसके EXEC (@sql)

मेरा पहला प्रयास का शोषण 'EXEXECEC (N''SELECT ''You DRDROPOPped the ball Bob!'')'

साथ होगा द्वारा अपने तरीके की त्रुटि दिखाना चाहते हैं लेकिन वह फ़िल्टर कर सकता है के रूप में फ़ाइल में किसी भी प्रमुख शब्दों सब एक लूप में बाहर।

क्या कोई तरीका है कि मैं अपने सहकर्मी के कोड का फायदा उठा सकता हूं? या महत्वपूर्ण शब्दों को फ़िल्टर कर रहा है?

संपादित करें: मुझे उसे अपने कोड में जांचने के लिए मिला। यदि कोड में कोई कीवर्ड होता है तो वह इसे निष्पादित नहीं करता है। मैं अभी भी बाइनरी रूपांतरण का उपयोग करके इसका फायदा उठाने का प्रयास कर रहा हूं।

Answer 1

1. अपने सहकर्मी को बताएं कि वह एक मूर्ख है।

2. क्या एक obfuscated SQL query, कुछ की तरह:

   select @sql = 0x44524f5020426f627350616e7473

इस कोड के बाकी की तरह दिखता है, लेकिन यह विचार हेक्स में अपने कोड एन्कोड करने के लिए है, उसके आधार पर कुछ फेरबदल की आवश्यकता होगी और इसे निष्पादित करें (या बल्कि, इसे निष्पादित करने दें)। इंजेक्शन के लिए कोड को खराब करने के अन्य तरीके हैं।

आपके पास वहां एक बड़ा सुरक्षा छेद है। और मजाकिया हिस्सा यह है कि यह ऐसा कुछ भी नहीं है जिसे पुनर्निर्मित करने की आवश्यकता है। ऐसी चीजों को होने से रोकने का सही तरीका सही अनुमतियों के साथ एक खाता बनाना और उपयोग करना है (उदाहरण: तालिका x, y और z पर केवल select क्वेरी कर सकते हैं)।

Answer 2

ASCII Encoded/Binary attacks पर एक नज़र ...

अपने दोस्त को समझाने चाहिए कि वह बर्बाद है .. है;

) और यहाँ कैसे तार एन्कोड करने के लिए पर कुछ मदद की ..
Converting a String to HEX in SQL