Seznam NAJBOLJŠIH ORODIJ SQLi

Vbrizgavanje SQL, imenovano tudi SQLi, je tehnika, pri kateri je mogoče podatke, ki jih poganjajo aplikacije, napadati z zlonamerno vstavljeno kodo SQL. Napadalci lahko dostopajo do zbirk podatkov, jih spreminjajo ali uničujejo z uporabo SQLi. To je ena najpogostejših tehnik, ki se uporabljajo pri spletnem vdiranju.

Čeprav je vbrizgavanje SQL lahko nevarno, je izvajanje različnih ukazov z vnosom spletne strani za izvajanje SQLi lahko zelo razburljivo delo. Od zbiranja podatkov do razvoja pravega tovora je lahko zelo dolgotrajno in včasih frustrirajoče delo. Tu pridejo v poštev orodja. Na voljo so številna orodja za testiranje in izkoriščanje različnih vrst SQL Injections. Pogovorili se bomo o nekaterih najboljših.

Havij:

Havij (kar v perzijščini pomeni korenček) je orodje iranske varnostne družbe ITSecTeam. Je popolnoma avtomatizirano orodje SQLi z omogočenim GUI in podpira različne tehnike SQLi. Razvit je bil za pomoč preizkuševalcem penetracije pri iskanju ranljivosti na spletnih straneh. Je uporabniku prijazno orodje in vključuje tudi napredne funkcije, zato je dobro za začetnike in profesionalce. Havij ima tudi različico Pro. Vznemirljivo pri Haviju je 95-odstotna uspešnost vbrizgavanja ranljivih ciljev. Havij je narejen samo za okna, za delo v Linuxu pa lahko uporabimo vino. Čeprav uradna stran ITSecTeam že dolgo ne deluje, sta Havij in Havij Pro na voljo na številnih spletnih mestih in v GitHub Repos.

BBQSQL:

BBQSQL, znan pod imenom „Blind SQL“, vam pomaga pri odpravljanju težav, kadar razpoložljiva orodja za izkoriščanje ne delujejo. Napisano v pythonu, je nekakšno polavtomatsko orodje, ki do neke mere omogoča prilagajanje zapletenih ugotovitev vbrizga SQL. BBQSQL zastavlja več vprašanj v meniju usmerjenem pristopu in nato ustvari vbrizg / napad glede na odziv uporabnika. Je zelo vsestransko orodje z vgrajenim uporabniškim vmesnikom, ki olajša njegovo uporabo. In uporaba python gevent je to precej hitro. Ponuja informacije o piškotkih, datotekah, HTTP-ju, pooblaščencih, URL-ju, metodi HTTP, glavah, metodah kodiranja, preusmerjanju itd. Zahteve pred uporabo vključujejo nastavitev parametrov in možnosti, nato pa po potrebi konfigurirajte napad. Konfiguracijo orodja lahko spremenite tako, da uporabite frekvenco ali binarno tehniko iskanja. Prav tako lahko ugotovi, ali je vbrizgavanje SQL delovalo tako, da v odzivih HTTP iz aplikacije poišče nekatere posebne vrednosti. Baza podatkov prikaže sporočilo o napaki, ki se pritoži zaradi nepravilne sintakse poizvedbe SQL, če napadalec uspešno izkoristi vbrizgavanje SQL. Edina razlika med slepim SQL in običajnim vbrizgavanjem SQL je način pridobivanja podatkov iz baze podatkov.

Namestite BBQSQL:

$ apt-GET namestite bbqsql

Levijatan:

Beseda Leviathan se nanaša na morsko bitje, morskega hudiča ali morsko pošast. Orodje je tako poimenovano zaradi napadalne lastnosti. Orodje je bilo prvič predstavljeno na Black Hat USA 2017 Arsenal. To je okvir, ki je sestavljen iz številnih odprtokodnih orodij, vključno z masscan, ncrack, DSSS itd. Orodja lahko uporabljate tudi v kombinaciji. Običajno se uporablja za naloge testiranja penetracije, kot so odkrivanje strojev in prepoznavanje ranljivih, naštevanje storitev, ki delujejo na teh napravah, in iskanje možnosti napada s simulacijo napada. Lahko prepozna ranljivosti v Telnetu, SSH, RDP, MYSQL in FTP. Leviathan je zelo usposobljen za preverjanje ranljivosti SQL na URL-jih. Osnovni cilj orodja Leviathan je naenkrat izvesti množično skeniranje več sistemov. Znanje preverjanja ranljivosti SQL naredi leviathan. Odvisnosti, potrebne za uporabo Leviathan Framework, so bs4, shodan, google-API-python-client, lxml, paramiko, zahteve.

Namestite Leviathan:

$ Git klon https: // github.com / leviathan-framework / leviathan.git
$ Cd leviathan
$ Pip install -r zahteve.txt

WhiteWidow:

Whitewidow je pogosto uporabljeno orodje za pregledovanje ranljivosti pri testiranju varnosti aplikacij in penetracije. Večina ljudi, ki jih zanima to orodje, je preizkuševalcev pisala in varnostnih strokovnjakov. Whitewidow je tudi odprtokoden in je avtomatiziran skener ranljivosti SQL, ki lahko s pomočjo seznama datotek ali Googla strga potencialno ranljiva spletna mesta. Glavni cilj tega orodja je bilo učenje in sporočanje uporabnikom, kako izgleda ranljivost. WhiteWidow za delovanje potrebuje nekatere odvisnosti, kot so: mehaniziraj, nokogiri, odjemalec za počitek, webmock, rspec in vcr. Razvit je v ruby ​​programskem jeziku. Na tisoče skrbno raziskanih poizvedb se uporablja za iskanje Googla za iskanje ranljivosti na različnih spletnih mestih. Ko zaženete Whitewidow, bo takoj začela preverjati ranljiva spletna mesta. Kasneje jih je mogoče izkoristiti ročno.

Namestite WhiteWidow:

$ Git klon https: // github.com / WhitewidowScanner / whitewidow.git
$ Cd belka
Namestitev svežnja $

vbrizgavanje jSQL:

jSQL je orodje za samodejno vbrizgavanje SQL, ki temelji na javi, od tod tudi ime jSQL.
Je FOSS in je združljiv z več platformami. Sestavljen je s pomočjo knjižnic, kot so Hibernate, Spock in Spring. jSQL Injection podpira 23 različnih zbirk podatkov, vključno z Access, MySQL, SQL Server, Oracle, PostgreSQL, SQLite, Teradata, Firebird, Ingris in številnimi drugimi. jSQL Injection je vklopljen GitHub in uporablja platformo Travis CI za nenehno integracijo. Preveri več strategij vbrizgavanja: Normal, Error, Blind in Time. Ima še druge funkcije, kot so iskanje skrbniških strani, groba sila zgoščevanja gesel, ustvarjanje in vizualizacija spletne lupine in lupine SQL itd. jSQL Injection lahko tudi bere ali piše datoteke.
vbrizgavanje jSQL je na voljo v operacijskih sistemih, kot so Kali, Parrot OS, Pentest Box, BlackArch Linux in drugih distribucijskih sistemih za testiranje pisala.

Namestite jSQL:

$ apt-GET namestite jsql

SQLmap

SQLmap je avtomatizirano orodje, napisano v pythonu, ki samodejno preveri ranljivosti SQL, jih izkoristi in prevzame strežnike baz podatkov. Je brezplačna in odprtokodna programska oprema in je verjetno najpogosteje uporabljeno orodje za testiranje ogroženih ciljev SQLi. Je brezplačna in odprtokodna programska oprema z neverjetno zmogljivim mehanizmom za zaznavanje. Ustvaril ga je Daniele Bellucci leta 2006, pozneje pa ga je razvil in promoviral Bernardo Damele. Najpomembnejši korak v razvoju sqlmap je bil Black Hat Europe 2009, ki je bil v središču pozornosti z vso medijsko pozornostjo. SQLmap podpira večino vrst baz podatkov, tehnike vbrizgavanja SQL in razbijanje gesel na podlagi slovarskih napadov. Uporablja se lahko tudi za urejanje / prenos / nalaganje datotek v zbirki podatkov. Ukaz Meterpreter (Metasploit) getsystem se uporablja za Privilege Escalation. Za tuneliranje ICMP je dodana knjižnica vpliva. SQLmap omogoča pridobivanje rezultatov z uporabo DNS rekurzivne ločljivosti veliko hitreje kot časovne ali logične metode. Poizvedbe SQL se uporabljajo za sprožitev zahtevanih zahtev DNS. SQLmap podpira python 2.6,2.7 in python 3 naprej.
Po mnenju Eda Skoudisa je celoten napad na SQLmap odvisen od petstopenjskega modela:

1. Izvidništvo
2. Optično branje
3. Izkoriščajte
4. Ohranjanje dostopa
5. Prekrivanje skladb

Namestite SQLmap:

$ Apt-GET namestite sqlmap

Ali

$ Git klon https: // github.com / sqlmapproject / sqlmap.git
$ Cd sqlmap
$ Python sqlmap.py

Čeprav je ta seznam kompakten, ga sestavljajo najbolj priljubljena orodja, ki se uporabljajo za odkrivanje in izkoriščanje SQLi. SQL Injection je zelo pogosta ranljivost in je v različnih oblikah, zato so orodja zelo koristna za odkrivanje teh ranljivosti in pomagajo številnim preizkuševalcem penetracije in kiddikom, da to delo opravijo na zelo enostaven način.

Srečno injiciranje!

Omejitev odgovornosti: Zgoraj napisani članek je namenjen samo izobraževanju. Uporabnik je odgovoren, da zgoraj danih orodij ne uporablja na cilju brez dovoljenja.