SQL Injection Test Laboratuarı Kurma

22.01.2007

Okuyucu : 9.036
Günlük Okuyucu : 18,7

SQL Injection Test Laboratuarı Kurma

Eğer bir önceki derslerde öğrendiklerinizi ve izledikleriniz elinizi kirletmeden anladığınızı düşünüyorsanız, büyük bir yanılgı içerisindeniz.

Şimdi hemen bir test sistemi kuracağız ve siz de buradaki tüm işlemleri bu test sisteminde test etme fırsatı bulacaksınız. Bu sistemi kurmanızı ve tüm buradaki işlemleri ve daha fazlasını kendi sisteminizde test etmeniz şiddetle tavsiye edilir.

Bu sistem daha sonraki bölümlerde ve kendiniz yeni bir SQL Injection üzerinde çalışırken çok işinize yarayacak.

Sistemi kurabilmemiz için 3 ana materyale ihtiyacımız var,

Web Sunucusu
Testlerimizde IIS (Internet Information Services) kullanacağız. Teknik olarak ASP çalıştırabilen herhangi bir web sunucusuda olabilir ancak olası sorunları ortadan kaldırmak için IIS kullanmanız tavsiye edilir.

Windows XP Professional
Windows 2003
Windows NT
Windows Vista işletim sistemlerinde IIS çalışacaktır. IIS “Kontrol Paneli > Ekle Kaldır > Windows Components” altından kurulabilir. ASP desteğini seçmeyi unutmayınız.

Veri Tabanı
Belirttiğimiz gibi veritabanı olarak şu an SQL Server a ihtiyacımız var. SQL Server 2005 Express ücretsiz olarak indirilebilir veya elinizde varsa SQL Server 2000’ i de kullanabilirsiniz.

SQL Server ve IIS kurulum yönetim detaylarına burada değinilmeyecektir, eğer bunlarla ilgili sorun yaşıyorsanız Google’ a sorun, sorunlarınızı çözüp ve kaldığınız yerden devam edin.

Daha iyi ve kullanışlı bir test sistemi oluşturabilmek için VMware’ ı kullanabilirsiniz. VmWare ücretsizdir, Kurduktan sonra sisteminizde sanal yeni bir işletim sistemi oluşturma şansınız olacak.

Gereken Yazılımların Download Adresleri

SQL Server 2005 Express
VMware (VMware Workstation)

Test Laboratuarı

Aşağıda bu geçtiğimiz bölümlerde gösterilen kodlar ve ek dosyalar bulunmaktadır. Bu kodlar sayesinde dersleri tamamen kendi sisteminizde test edebilirsiniz. Bunu yapmanızı şiddetle tavsiye ederim.

Bolum1.zip içerisinde gereken dosyaları bulabilirsiniz.

Kodları Kullanma Adımları

Sıkıştırılmış dosyaları açın (db.asp, login.asp, admin.asp)
db.asp içerinde veritabanı ayarlarınızı yapın
login.sql ile veritabanınızı oluşturun
Veritabanına biraz bilgi ekleyin, kullanıcı, şifre vs.
Web sunucunuzu ayarlayıp login.asp dosyasını tarayıcınızdan çağırın

Yorumlar

Bu makalenin yorumlarını RSS ile takip et!

Dostum, gerçekten çok güzel bir makale dizisi oluyor. Devamını da sabırsızlıkla bekliyorum.

Ellerine sağlık.

socialmouse [ # | 23.01.2007 ]

Gercektende cok güzel gidiyorsun Ferruh. Umarım sekteye uğramadan devam eder.
Sayglar.

OkyanuS [ # | 23.01.2007 ]

Hocam kod örneklerini sürekli asp üzerinden mi anlatmayı düşünüyorsunuz? Yoksa yeri gelince php örnekleri falan görecek miyiz? Yoksa bu soru çok saçma mı oldu :)

Selçuk Hoca [ # | 23.01.2007 ]

Hocam kod örneklerini sürekli asp üzerinden mi anlatmayı düşünüyorsunuz?

Kodlari ASP, ASP.NET, PHP ile anlatmayi dusunuyorum. JSP vs. .NET ile de C# kullanmayi dusunmuyorum.

ana neden VB' nin programlama deneyimi yuksek olmayan kisiler icin bile cok rahat sekilde okunabilecek bir dil olmasi. PHP kullanacagim cunku cok populer bir dil ve kendine ozgu ciddi sorunlari ve kullanim farkliliklari var.

.NET te gene populerlesiyor muhtemelen sadece bir kac ornegi test amacli ASP.NET uzerinde gosterecegim.

Bunun yaninda ileride masaustu yazilimlarda yazilmasi gerekecek o kodlarda gene %99 VB.NET olacaklar.

Soru hic sacma degil hatta bu konuda yazacaktim vakit olmadi vs. DB olarakta MySQL, Oracle, SQL Server ve PostgreSQL olacak inşallah.

Ferruh Mavituna [ # | 23.01.2007 ]

Hersey cok guzel gidiyor. Cok kaliteli ve ogretici dersler yayinliyorsunuz. Yalniz bir konu dikkatimi cekti. VMware programinin ucretsiz oldugunu yazmissiniz ama sitesine gidip bakinca 30 gunluk deneme surumu oldugu yaziyor. Acaba baska bir surume mi bakmamiz gerekiyor?

Dersler icin tekrar tesekkuler..

demods [ # | 23.01.2007 ]

VMware programinin ucretsiz oldugunu yazmissiniz ama sitesine gidip bakinca 30 gunluk deneme surumu oldugu yaziyor.

VmWare Server bedava : http://www.vmware.com/download/server/

Workstation' da bedava diye duymustum ancak degil gibi gozukuyor. Ama serverda zaten gereken hersey var.

Ferruh Mavituna [ # | 23.01.2007 ]

Tebrik ederim, çok başarılı olmuş.

Fuzbing [ # | 23.01.2007 ]

MySQL demişken;

Dün gece MySQL-Front indirmek istedim ve karşıma şu çıktı.

MySQL-Front has been discontinued since MySQL AB forced us to remove this program from the market.

Thanks a lot for all your help!

Your MySQL-Front Team

We hope the humanity will learn to work together instead of fighting another senseless...

http://www.mysqlfront.de/

Kullanışlı bir MySQL arayüzü olan MySQL-Front için oldukça üzücü bir durum.

Fatih ÜNAL [ # | 23.01.2007 ]

genel server açıkları değilde programlama açıklarına da değinecek misinz?

delphi - firebird iklisini uzun bi süredir kodluyorum. Yaptıklarımda tabi ki açık testi yapmıyorum. Zaten zaman da olmuyo,, genelde müşternin istekleri çalışıyorsa sistem çalışıyordur..

o yüzden böyle makalelere çok önem veriyorum.

yLmZ [ # | 25.01.2007 ]

genel server açıkları değilde programlama açıklarına da değinecek misinz?
Web servisleri, web uygulamalari ve veritabalari ile konusan masaustu programlara deginmeyi dusunuyorum ancak buffer overflow, off-by-one vs. gibi konular olmayacak. En azindan henuz o sekilde bir plan yok.

Ferruh Mavituna [ # | 25.01.2007 ]

süpersün ferruh hocam tebirklerin devamını bekliyoruz

Alyy [ # | 29.01.2007 ]

Herkes SQL injection anlatiyor. Daha teknik bilgiler verilmeli bence. Çok basit kaliyor artik boyle şeyler. Bana nonshadowed password nasil kırılırı hatırlattı eskidende öyle bir furya vardı. Hangi siteye girsek brute force ile /etc/password nasıl kırılır o anlatılırdı.

Yokki [ # | 01.02.2007 ]

Herkes SQL injection anlatiyor. Daha teknik bilgiler verilmeli bence. Çok basit kaliyor artik boyle şeyler. Bana nonshadowed password nasil kırılırı hatırlattı eskidende öyle bir furya vardı.
Madem bu sizi kesmiyor buyrun : http://ferruh.mavituna.com/article/?1458 DNS Pinning

Ferruh Mavituna [ # | 01.02.2007 ]

Peki masaüstü programları VB6 olacak mı?

Gökhan [ # | 02.02.2007 ]

Ferruh Bey, böyle bir site kurmuş olduğunuz için tebrik ediyorum. Konuların tümünü oldukça faydalı buldum. Aslında benim işim programcılık değil fakat, konular çok ilgimi çekti doğrusu. Ben de bir programcı olabilir miyim diye düşünüyorum. Hiç bilgim de yok demiyorum tabii. En azından bir sistemi kurup çalıştırmayı, internetten aldığım bilgilerle bazı problemleri çözümlemeyi, bilgisayar donanımlarını kurmayı ve kaldırmayı biliyorum. Fakat bu güvenlik açıklarını da öğrenmeyi çok istiyorum. Bakalım ne kadar başarılı olabileceğim. Başarılarınızın devamını dilerim. İyi çalışmalar.

gorunmeden [ # | 03.02.2007 ]

Thnx Ferruh Bey :)

Bak yLmz Program AcıkLarını 0qrenmek Istı0rsan Adamın MakaLesine y0rum yapmamaLısın!
MiLw0rm.c0m a gir ve buL (:

GaddaR [ # | 06.02.2007 ]

Ihtimallere dayali uyduruk hacking zirvalari degil ciddi ciddi isin mantigini görmemize yardimci oluyorsunuz tesekkürler

Gago [ # | 09.03.2007 ]

bide test labaratuvarini kurduk ama dosyalarin bulundugu bolum1.zip dosyasina bi türlü ulasilmiyor? Tasimadan dogan bir problemmi yoksa bendemi hata var? Link bu
http://ferruh.mavituna.com/makale/sql-injection-test-laboratuari-kurma/download/bolum1.zip

Gago [ # | 10.03.2007 ]

ide test labaratuvarini kurduk ama dosyalarin bulundugu bolum1.zip dosyasina bi türlü ulasilmiyor?

Evet tasimadan dolayi kusura bakmayin, adres soyle olmali,
http://ferruh.mavituna.com/article/download/bolum1.zip

Ferruh Mavituna [ # | 10.03.2007 ]

ferruh ellerine saglik cok güzel gidiyo merk ettiklerimin cvbini buluyorum SQL server 2005 i kurdum yazdigin örnek dosyayida yükledim öyle bakiyorum onlara saf saf:))) rica etsem bunlari nasi kullanicagimiz hakkinda bi makale yazarmisin eger önceden yazdiysan bana bi link ver bütün siteyi dolastim bulamadim 2003te yazdigin makaleleri bile okudum tabiki biraz güncelligini kaybetmis ama cok faydali bilgiler mevcut saol...

memo [ # | 08.12.2007 ]

Dostum ellerine saglik fakat SQL Server 2005 Express ile kullanabilirsiniz demissin eger 2005 express ile kullanirsan Microsoft OLE DB Provider for SQL Server (0x80004005)
[DBNETLIB][ConnectionOpen (Connect()).]SQL Server yok gibi bir hata olustu lakin SQL Server 2000 Enterprise Manager' dan baska bir SQL Server 2005 Instance' ina baglanmaya çalistiginizda bu hatayi alirsiniz kendi serverimda halen denemekteyim SQL Server 2005' in yönetim arayüzü olan SQL Server Management Studio kullanarak bir SQL Server 2000 Instance' ina baglanabildim ; fakat ayni seyin tersini, yani Enterprise Manager kullanarak bir SQL Server 2005 Instance' ina baglanamadim...

Rifat BOR [ # | 23.12.2007 ]

SQL server kurulumu ve ayarlarini biraz açiklasan hiç bir yerde bulamadim :( bi kota harcadim o kadar.

cybersoytari [ # | 24 gün, 48 dk ]

Yorum Ekle