O Havij é uma ferramenta de injeção SQL que ajudava os programadores a fazerem testes, encontrar e explorar vulnerabilidades de injeção SQL em suas páginas web. O programa foi desenvolvido pela ITSecTeam, tendo o objetivo de deixar páginas da web mais seguras. Contudo, o programa foi descontinuado no final de 2014 e em janeiro de 2015 o site da ITSecTeam foi fechado, encerrando todas as atividades.
Para não deixar a ideia morrer, um grupo desenvolveu o havij para o sistema Android, chamado
Droid Havij. Ele praticamente faz a mesma coisa, sendo uma ferramenta automatizada de injeção SQL, permitindo que você teste seu aplicativo da Web contra ataques de injeção SQL ou invadir sites via celular (
Eu pessoalmente não recomendo).
Tudo o que você precisa fazer é encontrar uma URL vulnerável e colocá-la no App. Em poucos minutos você estará obtendo base de dados e todas as informações do servidor. O aplicativo seleciona automaticamente a melhor técnica para usar e emprega alguns métodos simples para burlar os filtros.
1). Site Vulnerável SQL
2). Telefone Android
Droid Havij suporta as seguintes técnicas de injeção:
* Injeção baseada no tempo
* Injeção cega
* Injeção baseada em erro
* Injeção normal.
Sendo capaz de entrar em bancos:
* MsSQL 2000/2005 with error
* MsSQL 2000/2005 no error union based
* MsSQL Blind
* MySQL time based
* MySQL union based
* MySQL Blind
* MySQL error based
* MySQL time based
* Oracle union based
* Oracle error based
* PostgreSQL union based
* MsAccess union based
* MsAccess Blind
* Sybase (ASE)
* Sybase (ASE) Blind
Tutorial
1. Encontre um site vulnerável na web ou teste seu próprio site. Caso procure na web, use a dork php?id=
2. Teste o site colocando uma aspa simples no final. Por exemplo:
secdigital.blogspot.com.br'
Geralmente, se for vulnerável, aparece um erro SQL como mostrado abaixo
3. Instale o aplicativo. Para instalar o aplicativo é necessário autorizar instalação de aplicativos de fonte desconhecida. Acesse as configurações do seu aparelho e vá até o menu “Segurança” e Localize o item “Fontes desconhecidas”, na seção “Administração do dispositivo”.
4. Ative a opção para permitir a instalação de arquivos APK baixados por fontes alternativas. Abra o aplicativo e coloque o site vulnerável
5. Abra o aplicativo e coloque o site vulnerável
No primeiro exemplo, eu coloquei um site e apertei no botão Inject. Fez o scan, mas não achou vulnerabilidade.
No segundo exemplo, já encontrou o banco de dados em poucos minutos.
6. Basta dá um clique no banco de dados que você achou e vai mostrar as tabelas do banco.
7. Escolha a tabela desejada, marque os campos que você queira exibir e clique em "Get Records".
8. Após isso, o app vai mostrar os dados da tabela escolhida. Após pegar as credenciais do site, basta descobrir a página admin e logar no site. Não vou mostrar como fazer deface no site e colocar a shell. Essa parte ficará para um próximo tutorial.
OBS.: É através desses defaces que o crackers conseguem as info cc full