Инструменты безопасности с открытым исходным кодом
sqlmap: поиск инъекций до их обнаружения
sqlmap автоматизирует тестирование SQL-инъекций: он определяет бэкэнд, перечисляет базы данных и схемы и (с флагами, о которых вам следует подумать дважды) может выгружать таблицы. При правильном использовании это экономит время, поскольку профессионалы уже проверили технику вручную; если использовать его вслепую, это разрушительная пушка, направленная на производственную систему. Инструмент находится в конце цепочки тестов, а не в начале: вы находите внедрение, понимаете его, а затем позволяете sqlmap перечислить его для отчета.
Главное
- Сначала выполните поиск вручную: параметр в Повторителе странно реагирует (строки ошибок, изменения времени), вы проверяете его с помощью полезной нагрузки вручную и только затем подключаете sqlmap для автоматизации того, что вы уже подтвердили.
- Основные формы вызова: параметр sqlmap -u URL p и sqlmap --data для тел POST; --batch пропускает запросы на свой страх и риск.
- Намеренно повышайте флаги: --level и --risk увеличивают объем проверки (больше точек ввода, более агрессивные ПОЛЕЗНЫЕ НАГРУЗКИ), именно так сервер отключается от сети — сопоставьте их с тем, что позволяет взаимодействие.
- Перечисление — это продуктивная фаза: --dbs, затем -D db --tables, затем -T table --columns и --dump только с явного согласия клиента, поскольку он копирует реальные данные.
- Выбор техники с помощью --technique (B, E, U, T, S) сообщает движку, что попробовать; время, основанное на медленной сети, тратит часы, если работает слепое логическое значение.
- Скрипты --os-shell и tamper существуют и являются мощными, и оба являются флагами, которые чаще всего что-то ломают; чтение того, что они на самом деле развернут, происходит раньше, чем огонь.
- Ценность отчета — точность: данные, в которых указаны названия серверной части, точки внедрения и проверенной полезной нагрузки, читаются лучше, чем снимки экрана с результатами сканирования, независимо от того, какой инструмент их создал.
- Исправьте потолок объема: sqlmap ничего не записывает без вашего запроса, но --dump в реальной пользовательской таблице представляет собой копию данных клиента с реальными последствиями соответствия — впишите согласие в план взаимодействия.
Заметка из практики
Лучший совет, который я когда-либо получал: вы не можете сначала сбрасывать то, что нашли вручную, сбрасывать только после согласия и никогда с --batch против производства, если кто-то не наблюдает за проводом. Перечисленная схема представляла собой более приятный отчет, чем любой скриншот.
Частые вопросы
Гарантирует ли sqlmap обнаружение каждой инъекции?
Нет: он хорошо охватывает классические шаблоны, а слепые зоны включают внедрение второго порядка, необычные кодировки и случаи, когда человеческий глаз превосходит автоматическое сопоставление шаблонов.
Законно ли использование автоматических инъекционных инструментов?
Против ваших собственных или авторизованных систем — да; против всего остального — нет; инструмент не имеет отношения к преступлению, он только делает его громче.
А как насчет --os-shell?
Это флаг наивысшего воздействия: канал системных команд на хосте базы данных, показанный для санкционированного использования; в масштабе производства это следует за явным согласием на уровне взаимодействия.
Нужен ли мне Burp, если существует sqlmap?
Совершенно верно: Burp находит и проверяет инъекцию, sqlmap перечисляет ее, и они связываются, а не заменяют друг друга.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Это то, чем мы занимаемся каждый день: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.