sqlmap: ইনজেকশন খুঁজে পাওয়ার আগে খুঁজে বের করা

মূল বিষয়সমূহ

• প্রথমে হাত দিয়ে খুঁজুন: একটি প্যারামিটার রিপিটারে অদ্ভুতভাবে সাড়া দেয় (ত্রুটির স্ট্রিং, সময় পরিবর্তন), আপনি একটি ম্যানুয়াল পেলোড দিয়ে যাচাই করেন এবং শুধুমাত্র তারপরে আপনি যা নিশ্চিত করেছেন তা স্বয়ংক্রিয় করতে sqlmap আনুন।
• মৌলিক কল ফর্ম: sqlmap -u URL p প্যারামিটার এবং sqlmap -- POST বডির জন্য ডেটা; --ব্যাচ এড়িয়ে যায় আপনার নিজের অপারেশনাল ঝুঁকিতে প্রম্পট।
• ইচ্ছাকৃতভাবে ফ্ল্যাগ বাড়ান: --লেভেল এবং --রিস্ক প্রোবের ভলিউম বাড়ান (আরো ইনজেকশন পয়েন্ট, আরও আক্রমনাত্মক পেলোডস), যা ঠিক যেভাবে একটি সার্ভার অফলাইনে ছিটকে যায় — এগুলিকে এনগেজমেন্ট যা অনুমতি দেয় তার সাথে মেলে৷
• গণনা হল উত্পাদনশীল পর্যায়: --dbs, তারপর -D db --টেবিল, তারপর -T টেবিল --কলাম, এবং --ডাম্প শুধুমাত্র স্পষ্ট ক্লায়েন্টের সম্মতিতে কারণ এটি বাস্তব ডেটা কপি করে।
• --technique (B, E, U, T, S) দিয়ে টেকনিক নির্বাচন ইঞ্জিনকে কী চেষ্টা করতে হবে তা বলে; অন্ধ বুলিয়ান কাজ করলে একটি ধীর নেটওয়ার্কের সময়-ভিত্তিক সময় নষ্ট করে।
• --os-শেল এবং টেম্পার স্ক্রিপ্ট বিদ্যমান এবং শক্তিশালী, এবং উভয়ই পতাকা যা প্রায়শই জিনিসগুলিকে ভেঙে দেয়; আগুনের আগে তারা আসলে কী স্থাপন করে তার একটি পড়া।
• রিপোর্টের মান হল নির্ভুলতা: ব্যাকএন্ড, ইনজেকশন পয়েন্ট এবং যাচাইকৃত পেলোডের নাম স্ক্যানার আউটপুট স্ক্রিনশটগুলির চেয়ে ভাল রিড করে, যে কোনও টুল এটি তৈরি করেছে।
• স্কোপ সিলিং ঠিক করুন: sqlmap আপনার অনুরোধ ছাড়া কিছুই লেখে না, কিন্তু -- একটি বাস্তব ব্যবহারকারী টেবিলে ডাম্প হল একটি ক্লায়েন্ট-ডেটা কপি যার বাস্তব সম্মতি রয়েছে — এনগেজমেন্ট প্ল্যানে সম্মতি লিখুন।

মাঠের নোট

আমি এখন পর্যন্ত সবচেয়ে ভাল পরামর্শ পেয়েছি: আপনি প্রথমে হাত দিয়ে যা পেয়েছেন তা ডাম্প করতে পারবেন না, শুধুমাত্র সম্মতির পরেই ডাম্প করতে পারবেন না এবং কেউ তারের দেখা ছাড়া উৎপাদনের বিরুদ্ধে --ব্যাচের সাথে কখনই নয়। গণনা করা স্কিমা যেকোন স্ক্রিনশটের চেয়ে একটি সুন্দর প্রতিবেদন তৈরি করেছে।

সচরাচর জিজ্ঞাসা