Инструменти за сигурност с отворен код
sqlmap: Намиране на инжекции, преди да бъдат намерени
sqlmap автоматизира тестването на SQL инжектиране: той отпечатва бекенд, изброява бази данни и схема и (с флагове, за които трябва да помислите два пъти) може да изхвърля таблици. Използван правилно, той спестява време за техника, която професионалистите вече са потвърдили на ръка; използван сляпо, той е оръдие, разрушаващо данни, насочено към производствена система. Инструментът се намира в края на тестовата верига, а не в началото: намирате инжекцията, разбирате я, след което оставяте sqlmap да я изброи за отчета.
Ключови точки
- Първо намерете на ръка: параметър реагира странно в Repeater (низове за грешки, промени във времето), вие проверявате с ръчен полезен товар и едва след това въвеждате sqlmap, за да автоматизирате това, което вече сте потвърдили.
- Основните форми за повикване: sqlmap -u URL p параметър и sqlmap --data за POST тела; --партида пропуска подкани на ваш собствен оперативен риск.
- Умишлено ескалиране на флаговете: --level и --risk повишават обема на сондата (повече точки на инжектиране, по-агресивни ПОЛЕЗНИ НАтоварвания), което е точно начинът, по който сървърът бива изваден от работа — съпоставете ги с това, което позволява ангажиментът.
- Изброяването е продуктивната фаза: --dbs, след това -D db --tables, след това -T table --columns и --dump само с изрично съгласие на клиента, защото копира реални данни.
- Изборът на техника с --technique (B, E, U, T, S) казва на двигателя какво да опита; базирано на време при бавна мрежа губи часове, ако сляпото булево работи.
- --os-shell и скриптовете за подправяне съществуват и са мощни, и двата са флаговете, които най-често нарушават нещата; четенето на това, което те всъщност разполагат, идва преди огъня.
- Стойността на отчета е прецизност: откритие, което назовава бекенда, точката на инжектиране и валидирания полезен товар, се чете по-добре от екранните снимки на изхода на скенера, независимо от инструмента, който го е направил.
- Поправете тавана на обхвата: sqlmap не записва нищо без вашата заявка, но --dump на реална потребителска таблица е копие на клиентски данни с реални последствия за съответствие — запишете съгласието в плана за ангажиране.
Бележка от терен
Най-добрият съвет, който някога съм получавал: не можете първо да изхвърляте това, което сте намерили на ръка, да изхвърляте само след съгласие и никога с --batch срещу производство, без някой да наблюдава връзката. Изброената схема направи по-добър отчет от всяка екранна снимка.
Често задавани въпроси
Sqlmap гарантира ли намирането на всяка инжекция?
Не: покрива добре класическите модели, а слепите петна включват инжектиране от втори ред, необичайни кодирания и случаи, в които човешките очи побеждават автоматизираното съпоставяне на шаблони.
Законно ли е използването на автоматизирани инструменти за инжектиране?
Срещу вашите собствени или оторизирани системи с обхват да; срещу всичко друго, не; инструментът няма отношение към престъплението, просто го прави по-шумно.
Какво ще кажете за --os-shell?
Това е флагът с най-голямо въздействие: системен команден канал на хоста на базата данни, показан за разрешено използване; в производствения мащаб това е зад изричното съгласие на ниво ангажираност.
Все още ли имам нужда от Burp, ако sqlmap съществува?
Абсолютно: Burp намира и валидира инжекцията, sqlmap я изброява и те се свързват във верига, вместо да се заменят.
Как Kinetikatech помага с инструменти за сигурност с отворен код
Това правим днес: Професионалистите от инструментариума за тестване всъщност поддържат заредени: скенери, снифери, кракери и уеб проксита обясниха начина, по който се използват при реални ангажименти – команди, флагове, изходи и къде седи всеки от тях в методологията. Нашата услуга Тестове за проникване и Сигурност на Linux сървъра покрива всичко — от оценка до внедряване, денонощен мониторинг и спешна реакция до 30 минути.