shikata ga nai

Private? There is no such things.

Blind SQL injection with time delaysをやってみた

Hello there, ('ω')ノ

 

時間遅延のあるブラインドSQLインジェクションを。

ページにアクセスして。

 

f:id:ThisIsOne:20210222165557p:plain

 

リクエストのCookieには、TrackingIdが確認できて。

 

f:id:ThisIsOne:20210222165538p:plain

 

下記のようにTrackingIdを変更してSendすると。

画面右下で、レスポンス時間が確認できて。

Cookieでもいけるのかと。

 TrackingId=x'||pg_sleep(10)--

 

f:id:ThisIsOne:20210222165715p:plain

 

10秒遅延して、クリアできた。

 

f:id:ThisIsOne:20210222165744p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain