O Havij é uma ferramenta de injeção SQL que ajudava os programadores a fazerem testes, encontrar e explorar vulnerabilidades de injeção SQL em suas páginas web. O programa foi desenvolvido pela ITSecTeam, tendo o objetivo de deixar páginas da web mais seguras. Contudo, o programa foi descontinuado no final de 2014 e em janeiro de 2015 o site da ITSecTeam foi fechado, encerrando todas as atividades.
Para não deixar a ideia morrer, um grupo desenvolveu o havij para o sistema Android, chamado Droid Havij. Ele praticamente faz a mesma coisa, sendo uma ferramenta automatizada de injeção SQL, permitindo que você teste seu aplicativo da Web contra ataques de injeção SQL ou invadir sites via celular (Eu pessoalmente não recomendo).
Tudo o que você precisa fazer é encontrar uma URL vulnerável e colocá-la no App. Em poucos minutos você estará obtendo base de dados e todas as informações do servidor. O aplicativo seleciona automaticamente a melhor técnica para usar e emprega alguns métodos simples para burlar os filtros.
Requisitos:
1). Site Vulnerável SQL
2). Telefone Android
3). Ferramenta Droid Havij
Droid Havij suporta as seguintes técnicas de injeção:
* Injeção baseada no tempo
* Injeção cega
* Injeção baseada em erro
* Injeção normal.
Sendo capaz de entrar em bancos:
* MsSQL 2000/2005 with error
* MsSQL 2000/2005 no error union based
* MsSQL Blind
* MySQL time based
* MySQL union based
* MySQL Blind
* MySQL error based
* MySQL time based
* Oracle union based
* Oracle error based
* PostgreSQL union based
* MsAccess union based
* MsAccess Blind
* Sybase (ASE)
* Sybase (ASE) Blind
Tutorial
1. Encontre um site vulnerável na web ou teste seu próprio site. Caso procure na web, use a dork php?id=
2. Teste o site colocando uma aspa simples no final. Por exemplo:
secdigital.blogspot.com.br'
Geralmente, se for vulnerável, aparece um erro SQL como mostrado abaixo
3. Instale o aplicativo. Para instalar o aplicativo é necessário autorizar instalação de aplicativos de fonte desconhecida. Acesse as configurações do seu aparelho e vá até o menu “Segurança” e Localize o item “Fontes desconhecidas”, na seção “Administração do dispositivo”.
4. Ative a opção para permitir a instalação de arquivos APK baixados por fontes alternativas. Abra o aplicativo e coloque o site vulnerável
5. Abra o aplicativo e coloque o site vulnerável
No primeiro exemplo, eu coloquei um site e apertei no botão Inject. Fez o scan, mas não achou vulnerabilidade.
No segundo exemplo, já encontrou o banco de dados em poucos minutos.
8. Após isso, o app vai mostrar os dados da tabela escolhida. Após pegar as credenciais do site, basta descobrir a página admin e logar no site. Não vou mostrar como fazer deface no site e colocar a shell. Essa parte ficará para um próximo tutorial.
OBS.: É através desses defaces que o crackers conseguem as info cc full
