New apps.facebook sqli

[Bl4k3]

nuova sql injection in apps.facebook

Server:http://apps.facebook.com/buysalepals/

VERSION()--->VERSION()

DATABASE()--->DATABASE()

USERS()--->USERS()

USER_PASSWORD()--->USER_PASSWORD

Spero siano di gradimento

Bl4k3

 

[BrainStorm]

Ma queste SQL Injection sono comunque limitate all' applicazione. Non si riesce a ricavare dati più utili?

 

[Bl4k3]

del tipo?
volendo si può cercare la mail dell'account admin tramite la sqli "non l'ho postata per evitare lameri" uppare nel sito una shell o reverse shell e connettersi nel db interno "cosa già provata "

 

[BrainStorm]

Si, lo so cosa ci si può fare, già provato anche io, ma quello che intendevo è questo:

Io so che facebook non ospita le applicazioni sul proprio server ma richiede che chi sviluppa le applicazioni abbia un proprio server dove viene ospitato il codice, ergo la sqli non agisce sul server di facebook ma sul server del programmatore. Correggimi se sbaglio.

 

[Bl4k3]

hai ragione al 101%