((DUMP-DATA)) Tehuacán | Ayuntamiento Municipal | www.tehuacan.gob.mx

====================================================================================

   _  _   ____  _            _     ____        _    _       
 _| || |_|  _ \| |          | |   / __ \      | |  | |      
|_  __  _| |_) | | __ _  ___| | _| |  | |_ __ | |__| |_ __  
 _| || |_|  _ <| |/ _` |/ __| |/ / |  | | '_ \|  __  | '_ \ 
|_  __  _| |_) | | (_| | (__|   <| |__| | |_) | |  | | | | |
  |_||_| |____/|_|\__,_|\___|_|\_\\____/| .__/|_|  |_|_| |_|
                                        | | 

#BlackOpHn T3AM    HONDURAS C.A         |_|        

====================================================================================

DB (Base de Datos) ((DATADUMP))

Target:

http://www.tehuacan.gob.mx/articulo.php?id=2

Vulnerabilidad SQLI Automatizado (Sqlmap):

*--- Tehuacán | Ayuntamiento Municipal ---*

====================================================================================

Municipalidad de Parral DB ((DUMP-DATA)) www.parral.cl

Hola lectores y visitantes del BLOG #BlackOpHn hoy les dejamos la DB (Base de datos) del portal (http://www.parral.cl/) ((DUMP-DATA))

====================================================================================

   _  _   ____  _            _     ____        _    _       
 _| || |_|  _ \| |          | |   / __ \      | |  | |      
|_  __  _| |_) | | __ _  ___| | _| |  | |_ __ | |__| |_ __  
 _| || |_|  _ <| |/ _` |/ __| |/ / |  | | '_ \|  __  | '_ \ 
|_  __  _| |_) | | (_| | (__|   <| |__| | |_) | |  | | | | |
  |_||_| |____/|_|\__,_|\___|_|\_\\____/| .__/|_|  |_|_| |_|
                                        | | 

#BlackOpHn T3AM    HONDURAS C.A         |_|        

====================================================================================

DB (Base de Datos) ((DATADUMP))

Target:

http://www.parral.cl/

*--- Municipalidad de Parral ---*

====================================================================================

Vulnerabilidad de inyección SQL en Ruby on Rails

Los desarrolladores de Ruby on Rails advierten de una vulnerabilidad de inyección SQL que afecta a todas las versiones actuales del framework web. Las nuevas versiones de Ruby on Rails, 3.2.10, 3.1.9 y 3.0.18 ya están disponibles. Se recomienda que todos los usuarios se actualicen inmediatamente.

El problema, de acuerdo con el aviso, es que debido a la forma dinámica en que se extraen las opciones desde el método "params", un parámetro puede ser usado como un campo de aplicación y se podría inyectar un SQL arbitrario. Los buscadores dinámicos utilizan el método "name" para determinar qué campo se está buscando, por lo que una sentencia del tipo:

Post.find_by_id (params [: id])

sería vulnerable a un ataque y se podría inyectar:

User.find_by_id({:select =>"* from users limit 1 --"})

User Load (0.5ms) SELECT * from users limit 1 -- FROM "users" WHERE "users"."id" IS NULL LIMIT 1

El problema original se dio a conocer en el blog Phenoelit a finales de diciembre, donde el autor aplica la técnica para extraer las credenciales de usuario de un sistema de Ruby on Rails, eludiendo el marco de autenticación Authlogic.

Fuente: Seguridad UNAM