Liste der besten SQLI -Tools

Die SQL-Injektion, die auch als SQLI bezeichnet wird. Angreifer können Datenbanken mithilfe von SQLI auf Datenbanken zugreifen, ändern oder zerstören. Es ist eine der häufigsten Techniken beim Web -Hacking.

Während die SQL -Injektion gefährlich sein kann, kann es ein sehr hektischer Auftrag sein. Das Sammeln von Daten bis zur Entwicklung der richtigen Nutzlast kann ein sehr zeitaufwändiger und manchmal frustrierender Job sein. Hier kommen die Werkzeuge ins Spiel. Es stehen zahlreiche Tools zum Testen und Ausnutzen verschiedener Arten von SQL -Injektionen zur Verfügung. Wir werden einige der besten besprechen.

Havij:

Havij (was Karotte auf Persisch bedeutet) ist ein Instrument von Itecteam, einem iranischen Sicherheitsunternehmen. Es handelt sich um ein GUI -fähiger, vollständig automatisiertes SQLI -Tool und unterstützt eine Vielzahl von SQLI -Techniken. Es wurde entwickelt, um die Penetrationstester bei der Suche nach Schwachstellen auf Webseiten zu unterstützen. Es ist ein benutzerfreundliches Tool und umfasst auch erweiterte Funktionen. Daher ist es sowohl für Anfänger als auch für Fachleute gut. Havij hat auch eine Pro -Version. Das Aufregende an Havij ist die 95% erfolgreiche Injektionsrate bei gefährdeten Zielen. Havij ist nur für Fenster hergestellt, aber man kann Wein verwenden, damit es unter Linux funktioniert. Obwohl die offizielle Site von Itecteam schon lange nicht mehr zurückgeht, sind Havij und Havij Pro auf vielen Websites und Github -Repos verfügbar.

BBQSQL:

BBQSQL, bekannt als "Blind SQL" -spritzgerüst. In Python geschrieben, handelt es sich um eine Art halbautomatisches Werkzeug. BBQSQL stellt mehrere Fragen in einem Menügesteuerungsansatz und erstellt dann die Injektion/den Angriff gemäß der Antwort des Benutzers. Es ist ein sehr vielseitiges Werkzeug mit integrierter Benutzeroberfläche, um die Verwendung zu erleichtern. Und die Verwendung von Python -Gevent macht es ziemlich schnell. Es enthält Informationen zu Cookies, Dateien, HTTP -Auth, Proxies, URL, HTTP -Methode, Headern, Codierungsmethoden, Verhaltensdirektorten usw. Zu den Anforderungen vor dem Gebrauch gehören die Einrichtung von Parametern, Optionen und konfigurieren Sie den Angriff nach Bedarf. Die Konfiguration des Tools kann geändert werden, um entweder eine Frequenz oder eine binäre Suchtechnik zu verwenden. Es kann auch feststellen. Die Datenbank wird eine Fehlermeldung angezeigt. Der einzige Unterschied zwischen Blind SQL und normaler SQL -Injektion ist die Art und Weise, wie die Daten aus der Datenbank abgerufen werden.

Installieren Sie BBQSQL:

$ APT-Get Installieren Sie BBQSQL

Leviathan:

Das Wort Leviathan bezieht. Das Tool wird aufgrund seiner Angriffsfunktion so benannt. Das Tool wurde erstmals bei Black Hat USA 2017 Arsenal gestartet. Es ist ein Framework, das aus vielen Open -Source -Tools besteht. Die Werkzeuge können auch in Kombination verwendet werden. Es wird üblicherweise für Aufgaben zur Penetrationstests verwendet, z. Es kann Schwachstellen in Telnet, SSH, RDP, MySQL und FTP identifizieren. Leviathan ist sehr gut darin, SQL -Schwachstellen bei URLs zu überprüfen. Das grundlegende Ziel des Leviathan -Tools ist es, massive Scans auf vielen Systemen gleichzeitig durchzuführen. Die Überprüfung der SQL -Schwachstellen macht Leviathan Leviathan. Die Abhängigkeiten, die für die Verwendung von Leviathan Framework erforderlich sind.

Installieren Sie Leviathan:

$ git klone https: // github.Com/Leviathan-Framework/Leviathaner.Git
$ CD Leviathan
$ pip Installation -r -Anforderungen.txt

Weißes Fenster:

Whitewidow ist ein häufig verwendetes Tool zum Scannen von Sicherheitsanfälligkeit bei der Anwendungssicherheit und bei Penetrationstests. Die meisten Menschen, die an diesem Tool interessiert sind. Whitewidow ist ebenfalls Open-Source und ein automatisierter SQL-Schwachstellenscanner, der eine Dateiliste oder Google verwenden kann, um potenziell gefährdete Websites zu kratzen. Das Hauptziel dieses Tools war das Lernen und sagte den Benutzern, wie die Verwundbarkeit aussieht. Whitewidow verlangt einige Abhängigkeiten, um zu arbeiten, wie z. Es wurde in einer Ruby -Programmiersprache entwickelt. Tausende von sorgfältig recherchierten Abfragen werden verwendet, um Google zu kratzen, um Schwachstellen auf verschiedenen Websites zu finden. Wenn Sie Whitewidow starten, werden sofort nach schutzbedürftigen Websites nachkommen. Sie können später manuell ausgenutzt werden.

Installieren Sie Whitewidow:

$ git klone https: // github.com/whitewidowscanner/whitewidow.Git
$ cd whitewidow
$ bündel install

JSQL -Injektion:

JSQL ist ein auf Java basierendes automatisches SQL-Injektionstool, daher der Name JSQL.
Es ist foss und plattformübergreifend kompatibel. Es wird mit Bibliotheken wie Hibernate, Spock und Frühling zusammengestellt. JSQL Injection unterstützt 23 verschiedene Datenbanken, darunter Access, MySQL, SQL Server, Oracle, Postgresql, SQLite, Teradata, Firebird, Ingris und viele weitere. Die JSQL -Injektion wird auf GitHub platziert und verwendet Plattform Travis CI für die kontinuierliche Integration. Es prüft auf mehrere Injektionsstrategien: Normal, Fehler, Blind und Zeit. Es verfügt über andere Funktionen wie die Suche nach Administrationsseiten, Brute-Force of Password-Hash, Erstellung und Visualisierung von Web-Shell und SQL-Shell usw. Die JSQL -Injektion kann auch Dateien lesen oder schreiben.
Die JSQL-Injektion ist in Betriebssystemen wie Kali, Papagei OS, Pentest Box, Blackarch Linux und anderen Stifttestdistribülen erhältlich.

Installieren Sie JSQL:

$ apt-Get Installieren Sie JSQL

Sqlmap

SQLMAP ist ein automatisiertes Tool, das in Python geschrieben wurde, das automatisch auf SQL -Schwachstellen prüft, sie ausnutzt und Datenbankserver übernimmt. Es ist kostenlose und Open-Source. Es ist kostenlose und Open-Source-Software mit einer erstaunlich leistungsstarken Erkennungsmotor. Erstellt von Daniele Bellucci im Jahr 2006 wurde es später von Bernardo Damele entwickelt und gefördert. Der bemerkenswerteste Schritt in der Entwicklung für SQLMAP war Black Hat Europe 2009, der mit der Aufmerksamkeit der Medien ins Rampenlicht stand. SQLMAP unterstützt die meisten Arten von Datenbanken, SQL-Injektionstechniken und Kennwortrissen basierend auf wörterbuchbasierten Angriffen. Es kann auch zum Bearbeiten/Herunterladen/Hochladen von Dateien in einer Datenbank verwendet werden. Das Getsystem -Befehl (MetaNPreter) (Metasploit) wird für die Eskalation des Privilegs verwendet. Für ICMP -Tunneling wird eine Impacketbibliothek hinzugefügt. SQLMAP bietet das Abrufen von Ergebnissen unter Verwendung von DNS-rekursive Auflösung viel schneller als zeitbasierte oder booleale Methoden. SQL -Abfragen werden verwendet, um die erforderlichen DNS -Anforderungen auszulösen. SQLMAP wird von Python 2 unterstützt.6,2.7 und Python 3 ab.
Laut Ed Skoudis hängt ein vollständiger SQLMAP-Angriff von einem 5-Stufen-Modell ab:

1. Aufklärung
2. Scannen
3. Ausbeuten
4. Zugang halten
5. Spuren abdecken

Installieren Sie SQLMAP:

$ apt-Get Installieren Sie SQLMAP

Oder

$ git klone https: // github.com/sqlmApproject/sqlmap.Git
$ CD SQLMAP
$ Python SQLMAP.py

Obwohl diese Liste kompakt ist, besteht sie aus den beliebtesten Tools, die zum Erkennen und Ausnutzen von SQLI verwendet werden. Die SQL-Injektion ist eine sehr häufige Anfälligkeit und ist in einer Vielzahl von Formen erhältlich.

Viel Spaß beim Einspritzen!

Haftungsausschluss: Der oben geschriebene Artikel dient nur zu Bildungszwecken. Es liegt in der Verantwortung des Benutzers, die oben gegebenen Tools nicht ohne Erlaubnis für ein Ziel zu verwenden.