Інструменти безпеки з відкритим кодом
sqlmap: Пошук ін’єкцій до того, як вони будуть знайдені
sqlmap автоматизує тестування SQL-ін’єкцій: він бере відбитки серверної частини, перераховує бази даних і схеми, і (з прапорцями, про які вам варто двічі подумати) може створювати дамп таблиць. При правильному використанні це економить час для техніки, яку професіонали вже підтвердили вручну; використовується наосліп, це гармата, що руйнує дані, спрямована на виробничу систему. Інструмент знаходиться в кінці ланцюжка тестування, а не на початку: ви знаходите ін’єкцію, розумієте її, а потім дозволяєте sqlmap перерахувати її для звіту.
Головне
- Спочатку знайдіть вручну: параметр дивно реагує в Repeater (рядки помилок, зміни часу), ви перевіряєте за допомогою корисного навантаження вручну, а лише потім вводите sqlmap, щоб автоматизувати те, що ви вже підтвердили.
- Основні форми виклику: sqlmap -u URL p параметр і sqlmap --data для тіл POST; --batch пропускає підказки на ваш власний операційний ризик.
- Умисно підвищуйте прапорці: --level і --risk підвищуйте об’єм тестування (більше точок ін’єкції, більш агресивні КОРИСНІ НАВАНТАЖЕННЯ), саме так сервер вимикається з мережі — зіставте їх із тим, що дозволяє взаємодія.
- Перерахування є продуктивною фазою: --dbs, потім -D db --tables, потім -T table --columns і --dump лише за явної згоди клієнта, оскільки копіюються реальні дані.
- Вибір техніки за допомогою --technique (B, E, U, T, S) повідомляє двигуну, що спробувати; на основі часу на повільній мережі витрачає години, якщо сліпе логічне значення працює.
- --os-shell і сценарії tamper існують і є потужними, і обидва є прапорами, які найчастіше порушують роботу; читання того, що вони насправді розгортають, приходить до пожежі.
- Значення звіту — це точність: знахідка, яка називає серверну частину, точку ін’єкції та перевірене корисне навантаження, читається краще, ніж знімки екрана сканера, незалежно від того, який інструмент її створив.
- Виправте обмеження обсягу: sqlmap нічого не записує без вашого запиту, але --dump у справжню таблицю користувача є копією даних клієнта з реальними наслідками для відповідності — запишіть згоду в план залучення.
Польова нотатка
Найкраща порада, яку я коли-небудь отримував: ви не можете спочатку скинути те, що знайшли вручну, скидати лише після згоди, і ніколи за допомогою --batch проти виробництва без того, щоб хтось спостерігав за дротом. Перерахована схема створила кращий звіт, ніж будь-який знімок екрана.
Часті запитання
Чи гарантує sqlmap пошук кожної ін’єкції?
Ні: він добре охоплює класичні шаблони, а сліпі плями включають ін’єкцію другого порядку, незвичне кодування та випадки, коли людські очі перемагають автоматичне зіставлення шаблонів.
Чи законно використання автоматизованих інструментів для введення?
Проти ваших власних або авторизованих систем так; проти будь-чого іншого, ні; інструмент не має відношення до злочину, він лише робить його гучнішим.
А як щодо --os-shell?
Це прапор найвищого впливу: системний командний канал на хості бази даних, показаний для авторизованого використання; у виробничих масштабах це належить за чіткою згодою на рівні залучення.
Чи потрібен мені Burp, якщо sqlmap існує?
Абсолютно: Burp знаходить і перевіряє ін’єкцію, sqlmap перераховує її, і вони об’єднуються, а не замінюють один одного.
Допомога Kinetikatech: інструменти безпеки з відкритим кодом
Чесно: більшість команд приходить до нас, попередньо спробувавши все самі: Професіонали з інструментів тестування фактично постійно завантажені: сканери, сніфери, зломщики та веб-проксі пояснили, як вони використовуються в реальних залученнях — команди, позначки, виходи та місце кожного з них у методології. Служба Тести на проникнення та Безпека серверів Linux існує, щоб не доводилося опановувати інструменти безпеки з відкритим кодом гірким досвідом — налаштування, нагляд і нічні сюрпризи о третій беремо на себе.