Seznam NEJLEPŠÍCH NÁSTROJŮ SQLi

Injekce SQL, která se také označuje jako SQLi, je technika, při které lze na aplikace založené na datech zaútočit prostřednictvím škodlivého kódu SQL. Útočníci mohou přistupovat, upravovat nebo ničit databáze pomocí SQLi. Je to jedna z nejběžnějších technik používaných při webovém hackingu.

Zatímco SQL Injection může být nebezpečný, provádění různých příkazů zadáním webové stránky k provádění SQLi může být velmi hektická práce. Od shromažďování údajů až po vývoj správného užitečného zatížení může být velmi časově náročná a někdy frustrující práce. Zde vstupují do hry nástroje. Existuje mnoho nástrojů pro testování a využívání různých typů injekcí SQL. Budeme diskutovat o těch nejlepších.

Havij:

Havij (což v perštině znamená mrkev) je nástroj ITSecTeam, íránské bezpečnostní společnosti. Jedná se o plně automatizovaný nástroj SQLi s grafickým uživatelským rozhraním a podporuje celou řadu technik SQLi. Byl vyvinut, aby pomohl testerům penetrace při hledání zranitelností na webových stránkách. Je to uživatelsky přívětivý nástroj a zahrnuje také pokročilé funkce, takže je vhodný jak pro začátečníky, tak pro profesionály. Havij má také verzi Pro. Vzrušující na Havij je 95% úspěšná rychlost vstřikování na zranitelné cíle. Havij je vyroben pouze pro Windows, ale lze použít víno, aby to fungovalo na Linuxu. Ačkoli je oficiální web ITSecTeamu dlouho nefunkční, Havij a Havij Pro jsou k dispozici na mnoha webech a GitHub Repos.

BBQSQL:

BBQSQL známý jako 'Blind SQL' injekční framework vám pomůže řešit problémy, když dostupné exploatační nástroje nefungují. Napsaný v pythonu, je to jakýsi poloautomatický nástroj, který umožňuje do jisté míry přizpůsobení jakýchkoli komplexních nálezů vstřikování SQL. BBQSQL klade několik otázek v přístupu založeném na nabídce a poté vytvoří injekci / útok podle odpovědi uživatele. Jedná se o velmi univerzální nástroj s integrovaným uživatelským rozhraním, který usnadňuje jeho používání. A díky použití python gevent je to docela rychlé. Poskytuje informace týkající se souborů cookie, souborů, ověřování HTTP, proxy serverů, URL, metody HTTP, záhlaví, metod kódování, chování přesměrování atd. Mezi požadavky před použitím patří nastavení parametrů, možností a poté podle potřeby nakonfigurovat útok. Konfiguraci nástroje lze změnit tak, aby používala buď frekvenci, nebo binární vyhledávací techniku. Může také určit, zda vložení SQL fungovalo pouhým hledáním určitých konkrétních hodnot v odpovědích HTTP z aplikace. Chybová zpráva se zobrazí v databázi, která si stěžuje na nesprávnou syntaxi SQL Query, pokud útočník úspěšně využije SQL Injection. Jediným rozdílem mezi slepým a normálním vkládáním SQL je způsob, jakým jsou data načítána z databáze.

Nainstalujte BBQSQL:

$ apt-GET nainstalovat bbqsql

Leviatan:

Slovo Leviathan označuje mořského tvora, mořského ďábla nebo mořskou příšeru. Tento nástroj je pojmenován kvůli své útočné funkci. Tento nástroj byl poprvé spuštěn na akci Black Hat USA 2017 Arsenal. Jedná se o rámec, který se skládá z mnoha nástrojů open source, včetně masscan, ncrack, DSSS atd., K provádění různých akcí, včetně SQLi, vlastního zneužití atd. Nástroje lze použít také v kombinaci. Běžně se používá pro úlohy penetračního testování, jako je objevování strojů a identifikace těch zranitelných, výčet služeb pracujících na těchto zařízeních a hledání možností útoku pomocí simulace útoku. Může identifikovat chyby zabezpečení v Telnetu, SSH, RDP, MYSQL a FTP. Leviathan je velmi zdatný v kontrole zranitelnosti SQL na URL. Základním cílem nástroje Leviathan je provádět masivní skenování na mnoha systémech najednou. Zkušenost s kontrolou slabých míst SQL činí leviatana. Závislosti potřebné k použití Leviathan Framework jsou bs4, shodan, google-API-python-client, lxml, paramiko, požadavky.

Nainstalujte Leviathan:

$ Git clone https: // github.com / leviathan-framework / leviathan.sakra
$ Cd leviathan
$ Pip install -r požadavky.txt

Bílá vdova:

Whitewidow je běžně používaný nástroj pro skenování zranitelností v zabezpečení aplikací a testování penetrace. Většina lidí, kteří se o tento nástroj zajímají, jsou testery pera a bezpečnostní profesionálové. Whitewidow je také open-source a je automatizovaným skenerem zranitelnosti SQL, který může pomocí seznamu souborů nebo Google škrábat potenciálně zranitelné weby. Hlavním cílem tohoto nástroje bylo naučit se a říci uživatelům, jak zranitelnost vypadá. WhiteWidow k práci vyžaduje určité závislosti, například: mechanize, nokogiri, rest-client, webmock, rspec a vcr. Je vyvinut v ruby ​​programovacím jazyce. Tisíce pečlivě prozkoumaných dotazů se používají ke škrábání Googlu při hledání zranitelnosti na různých webových stránkách. Když spustíte Whitewidow, začne okamžitě kontrolovat zranitelná místa. Mohou být později zneužity ručně.

Nainstalujte WhiteWidow:

$ Git clone https: // github.com / WhitewidowScanner / whitewidow.sakra
$ Cd bílá vdova
$ Balíček instalace

jSQL Injection:

jSQL je automatický nástroj pro vstřikování SQL založený na jazyce Java, odtud název jSQL.
Je FOSS a je kompatibilní s více platformami. Sestavuje se pomocí knihoven jako Hibernate, Spock a Spring. jSQL Injection podporuje 23 různých databází včetně Access, MySQL, SQL Server, Oracle, PostgreSQL, SQLite, Teradata, Firebird, Ingris a mnoha dalších. jSQL Injection je umístěn na GitHub a používá platformu Travis CI pro nepřetržitou integraci. Kontroluje více strategií vstřikování: Normální, Chyba, Slepý a Čas. Má další funkce, jako je vyhledávání stránek pro správu, hrubou silou hash hesla, vytváření a vizualizace webového prostředí a prostředí SQL atd. jSQL Injection může také číst nebo zapisovat soubory.
Injekce jSQL je k dispozici v operačních systémech, jako jsou Kali, Parrot OS, Pentest Box, BlackArch Linux a další distribuce testování pera.

Nainstalujte jSQL:

$ apt-GET nainstalovat jsql

SQLmap

SQLmap je automatizovaný nástroj napsaný v pythonu, který automaticky kontroluje chyby zabezpečení SQL, využívá je a přebírá databázové servery. Je to bezplatný a open-source software a je pravděpodobně nejběžněji používaným nástrojem pro testování zranitelných cílů SQLi perem. Je to bezplatný a otevřený software s neuvěřitelně výkonným detekčním modulem. Vytvořil Daniele Bellucci v roce 2006, později jej vyvinul a propagoval Bernardo Damele. Nejvýznamnějším krokem ve vývoji sqlmap byl Black Hat Europe 2009, který se dostal do centra pozornosti se vší pozornost médií. SQLmap podporuje většinu typů databází, technik SQL Injection a prolomení hesla na základě slovníkových útoků. Lze jej také použít k úpravám / stahování / nahrávání souborů v databázi. Příkaz Meterpreter (Metasploit) getsystem se používá pro Privilege Escalation. Pro tunelování ICMP je přidána knihovna impacketů. SQLmap poskytuje načítání výsledků pomocí rekurzivního rozlišení DNS mnohem rychleji než metody založené na čase nebo booleovské metodě. Dotazy SQL se používají ke spuštění požadovaných požadavků DNS. Python 2 podporuje SQLmap.6,2.7 a python 3 dále.
Podle Eda Skoudise závisí kompletní útok SQLmap na 5krokovém modelu:

1. Průzkum
2. Snímání
3. Využívat
4. Zachování přístupu
5. Krycí stopy

Nainstalujte SQLmap:

$ Apt-GET nainstalovat sqlmap

Nebo

$ Git clone https: // github.com / sqlmapproject / sqlmap.sakra
$ Cd sqlmap
$ Python sqlmap.py

I když je tento seznam kompaktní, skládá se z nejpopulárnějších nástrojů, které se používají k detekci a využívání SQLi. SQL Injection je velmi běžná chyba zabezpečení a má různé tvary, takže nástroje jsou skutečně užitečné pro detekci těchto chyb zabezpečení a pomáhají mnoha testerům penetrace a skriptům dělat práci opravdu snadno.

Šťastné vstřikování!

Zřeknutí se odpovědnosti: Výše ​​uvedený článek slouží pouze pro vzdělávací účely. Je odpovědností uživatele nepoužívat výše uvedené nástroje v cíli bez povolení.