SQL deobfuscátor

SQL deobfuscátor
« kdy: 23. 10. 2022, 23:44:31 »
Existuj SQL deobfuscátor?

Kód: [Vybrat]
13+  AND (SELECT 5808 FROM(SELECT COUNT(*),CONCAT(0x54736d46,(SELECT MID(IFNULL(CAST(COLUMN_NAME AS NCHAR),0x20),1,55) FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_SCHEMA=0x7679706164656b AND TABLE_NAME=0x6a6f735f62616e6e6572636c69656e74 AND COLUMN_NAME LIKE (0x25656d61696c25) AND COLUMN_NAME NOT LIKE (0x256c61737425) AND COLUMN_NAME NOT LIKE (0x256461746525) AND COLUMN_NAME NOT LIKE (0x2574696d6525) AND COLUMN_NAME NOT LIKE (0x2573746174757325) AND COLUMN_NAME NOT LIKE (0x25737562736372697074696f6e25) LIMIT 1),0x4e49746c,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.PLUGINS GROUP BY x)a)
Aspoň 0x jsem přes perl nahradil...

Kód: [Vybrat]
["TsmF", " ", "vypadek", "jos_bannerclient", "%email%", "%last%", "%date%", "%time%", "%status%", "%subscription%", "NItl"]
« Poslední změna: 24. 10. 2022, 08:05:00 od Petr Krčmář »


Re:SQL deobfuscátor
« Odpověď #1 kdy: 24. 10. 2022, 12:21:19 »
Ehm, vzhladom na to ze DB je obfuskovana, mas ju vobec legalne?

alex6bbc

  • *****
  • 1 491
    • Zobrazit profil
    • E-mail
Re:SQL deobfuscátor
« Odpověď #2 kdy: 24. 10. 2022, 12:58:56 »
Ehm, vzhladom na to ze DB je obfuskovana, mas ju vobec legalne?

i kdyby to nemel legalne tak co?

ja myslim, ze s nahradou textu a rucni upravou to da dokupy.

Re:SQL deobfuscátor
« Odpověď #3 kdy: 24. 10. 2022, 14:24:38 »
Legálně to nedělaj ty co mi tyhle requesty posílají na server.  Já tu DB nemám,Muj server není konečná, posílám přes proxy_pass, samozřejmě jsem  aktualizoval konfiguraci, takže holt když někdo hledá stránku číslo INFORMATION_SCHEMA, tak ji nenajde., tohle vidím v logách. jsou to nějaký číňani a turci.

(a to to prošlo jedním kolem decodování,ale triválnim html unescape a odstranenim /*...*/)

Re:SQL deobfuscátor
« Odpověď #4 kdy: 25. 10. 2022, 04:29:43 »
Ten vnitrek vypada jako ze hleda jestli v tabulce vypadek.jos_bannerclient existuje sloupecek co ma v nazvu 'email' a nema v nazvu ani jedno z 'last','date','time','status','subscription'
+ kolem toho dela obfuskovaci omacku s groupavanim, randomem, a skladanim nejakeho dal nepouziteho stringu
a pokud navic v prislusne mysql je nainstalovany alespon 1 plugin (coz asi je, protoze v defaultni instalaci jich mam 47) tak to vrati 5808
(jinak to vrati prazdno),
no a to se pouzije jako podminka do neceho co uz tady citovane neni (prazdny select je false, select ktery vrati 1 radek je true).
Cele je to hodne podezrele. Nejenom tim jak je to obfuskovane, ale i tim ze se to snazi zjistovat strukturu databaze.


mark42

  • ***
  • 108
    • Zobrazit profil
    • E-mail
Re:SQL deobfuscátor
« Odpověď #5 kdy: 25. 10. 2022, 08:56:12 »
Script kiddies (alebo statni hackeri, zvaz si riziko) zistuju, ci tam mas Joomlu. Ak nemas, tak pojdu o IP dalej.