Insert em todas as tabelas

[DiegoRiba 0]

Bom dia pessoal.

Estou com um problema de invasão em um site.

Gostaria de saber se é possível dar um insert em todas as tabelas do banco de dados sem saber o nome de todas?

Ou pelo menos a maioria delas e assim por diante...

Valeu a ajuda.

[Motta 645]

Tendo acesso as tabelas de metadados , é possível montar inserts aleatórios sim.

[advaldomesquita 93]

Bom dia pessoal.

Estou com um problema de invasão em um site.

Gostaria de saber se é possível dar um insert em todas as tabelas do banco de dados sem saber o nome de todas?

Ou pelo menos a maioria delas e assim por diante...

Valeu a ajuda.

SQL Injection

Basta montar o comando update em sys.objects... mole mole...

 

Já arrumaram a entrada do injection?

[DiegoRiba 0]

Tendo acesso as tabelas de metadados , é possível montar inserts aleatórios sim.

Ola Motta, não acredito que ele tenha acesso as minhas tabelas...

SQL Injection

Basta montar o comando update em sys.objects... mole mole...

 

Já arrumaram a entrada do injection?

A Jr, estamos arrumando estas partes vulneráveis.

Mas mesmo sem saber o nome das minhas tabelas, ele pode fazer insert nelas?

Ele não tem como fazer um select no site para descobrir o nome delas, no máximo inserir ou atualizar por sql Injection que já estamos arrumando.

[advaldomesquita 93]

Existem rotinas de injection que fazem a leituras das tabelas de sistema e executam um insert nas colunas de tipo texto. Mesmo sem saber o nome delas, esta rotina "varre" toda a base em que o usuario da conexao tenha acesso.

E pensa assim, se a pessoa fez um insert em uma tabela, para desobrir quais tabelas tem em seu sistema eh mais facil ainda!

[DiegoRiba 0]

Entendi A Jr.

Muito obrigado pela ajuda.

Vou estudar um pouco mais sobre SQL Injection.

Já fiz alguns bloqueios no site e acredito que agora não esteja mais tão vulnerável como antes.

[advaldomesquita 93]

uma das medidas que vc pode tomar, eh com relacao ao usuario de conexao com o DB.

Outra medida seria tirar os comandos de acesso, das paginas, como select, insert e update e troca-las por procedures.

[]´s

[Motta 645]

[DiegoRiba 0]

kkkkkkkkkkkkkkk BoaMotta

Sim A.Jr é verdade, uma boa opção.

Vou ver a possibilidade. Mas acredito que agora conseguimos bloquear as entradas para sql injection.

Muito obrigado a vcs pela ajuda.