SQLMap偵測設定

sqlmap偵測目標時,常見設定包括以下:

  • 檢測行為
  • 檢測深度
  • 輸出內容
  • 檢測條件
  • 輔助選項


檢測行為

自動化

–batch 不詢問使用者要做什麼動作,直接用預設值自動跑完


速度

–threads 指定要用幾條線程做測試,越高速度越快,但一些防禦設設會把速度太快的列入黑名單

–delay 指定每次要暫時多久才會執行下一個測試


檢測深度

檢測等級

預設情況下SQLMAP只支援GET/POST參數的注入測試,但是使用–level 參數且數值>=2的時候也會檢查cookie裡面的參數,當>=3的時候將檢查User-agent和Referer。可以透過burpsuite等工具取得當前的cookie值,然後進行注入:

參數 –level

level 定義了注入的等級,等級越高使用的payload越多

  • 1:預設是1(<100 requests)
  • 2:大於等於2的時候也會測試HTTP Cookie頭的值(100-200 requests)
  • 3: 大於等於3的時候也會測試User-Agent和HTTP Referer頭的值(200-500 requests)
  • 4: (500-1000 requests)
  • 5: (>1000 requests)

在boundaries.xml內有明確定不同level使用不同攻撃payload,內容如下

<boundary>     
<level>3</level> 
<clause>1</clause>
<where>1,2</where>
<ptype>1</ptype>      
<prefix>)</prefix>
<suffix>[GENERIC_SQL_COMMENT]</suffix>
</boundary>

各參數說明

  • ptype 指 payload的類型
  • prefix payload前要拼接哪些字符
  • suffix: payload之後拼接那些字符
  • clause 指示了使用的查詢語句的類型,可以同時寫多個,用逗號隔開。

風險等級

參數 –risk 檢測強度,建議使用3以上,越高拆解的速度越慢

此參數用於指定風險等級,有 1~4 共 4 級。預設風險等級為 1,此等級在大多數情況下對測試目標無害。

等級2新增了基於時間的注入測試

等級3新增了OR測試。但如果注入點是在UPDATE語句中,使用OR測試可能會修改整個表的數據

refer
https://www.anquanke.com/post/id/188173


輸出內容

輸出等級

輸出的訊息總共分了七個等級,這七個等級在檢測試時會在介面裡回傳不同的內容。預設是等級1

參數: -v

  • 0:只顯示 Python 的 tracebacks 訊息、錯誤訊息 [ERROR] 和關鍵訊息 [CRITICAL];
  • 1:同時顯示普通資訊 [INFO] 和警告訊息 [WARNING];
  • 2:同時顯示調試資訊 [DEBUG];
  • 3:同時顯示注入所使用的攻擊荷載;
  • 4:同時顯示 HTTP 請求;
  • 5:同時顯示 HTTP 回應頭;
  • 6:同時顯示 HTTP 回應體。

估計完成時間

參數: –eta

輸出結果大致如下

[hh:mm:01] [INFO] the back-end DBMS is Oracle
[hh:mm:01] [INFO] fetching banner
[hh:mm:01] [INFO] retrieving the length of query output
[hh:mm:01] [INFO] retrieved: 64
17% [========>                                           ] 11/64

Then:

100% [===================================================] 64/64
[hh:mm:53] [INFO] retrieved: Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod

web application technology: PHP 5.2.6, Apache 2.2.9
back-end DBMS: Oracle
banner:
'Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod'

輸出到日志

將請求和回應以文字格式記錄到檔案中作為日誌,在調試時很有幫助

參數: -t < logfile path >

refer
http://www.91ri.org/6775.html
https://www.freebuf.com/sectool/164608.html


檢測條件

指定數據庫

參數 –dbms “<MySQL|Oracle|PostgreSQL|Microsoft SQL Server|…>”

範例

python sqlmap.py -u "http://192.168.1.1/sqlmap/pgsql/get_int.php?id=1" --dbms "PostgreSQL"


指定作業系統

參數 –os “<Linux|Windows>”

範例

sqlmap -u "http://192.168.1.1/sqlmap/pgsql/get_int.php?id=1" --os "Windows"


指定檢測類型

參數 –technique

B: Boolean-based blind SQL injection(布林型注入)
E: Error-based SQL injection(報錯型注入)
U: UNION query SQL injection(可聯合查詢注入)
S: Stacked queries SQL injection(可多語句查詢注入)
T: Time-based blind SQL injection(基於時間延遲注入)
Q: inline_query SQL injection(內聯注入)

範例:指定使用報錯型注入和可多語句查詢注入

sqlmap --technique ES


輔助選項

HTTP User-Agent

預設情況下sqlmap的HTTP請求頭中User-Agent值是:sqlmap/1.0-dev-xxxxxxx (http://sqlmap.org)

參數:–user-agent,–random-agent

可以使用–user-agent參數來修改,同時也可以使用–random-agent參數來隨機的從./txt/user-agents.txt中取得。

ps:
當–level參數設定為3或3以上的時候,會嘗試對User-Agent進行注入。

refer
http://www.91ri.org/6775.html


二階SQL注入

有些時候注入點輸入的資料看回傳結果的時候並不是目前的頁面,而是另外的一個頁面,這時候就需要你指定到哪個頁面取得回應判斷真假。

參數:–second-order

用法舉例如下

python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3

sqlmap -r 1.txt -dbms MySQL -second-order "http://<IP/domain>/joomla/administrator/index.php" -D "joomla" -dbs

refer
https://xz.aliyun.com/t/3010


頁面對比

預設情況下在布林型注入中Sqlmap透過比較傳回頁面內容來判斷True或False。但有時頁面每次重新整理都會不同。例如,頁面當中包含一個動態的廣告或其他內容,這會導致sqlmap的誤判。此時使用者可以提供一個字串或一段正規匹配。

參數:–string、–not-string、–regexp

用法如下:

方法1,找一個在原始頁面與真條件下的頁面都存在的字串,而錯誤頁面中不存在的字串,使用–string參數添加字串,或–regexp添加正規則

方法2, 找一段只在錯誤頁面中存在的字串,然後使用 –not-string加該字串

refer
https://xz.aliyun.com/t/3010
https://www.itread01.com/content/1550368654.html


sqlmap偵測流程

在sqlmap偵測sql注入點的過程中,會有一系列前置發包,這些前置發包主要包括

  • 網站連通性檢測
  • WAF探測
  • 網頁穩定偵測
  • 參數動態性偵測
  • 啟發式註入偵測
  • 誤報偵測

refer
https://paper.seebug.org/729/. sqlmap運作流程
https://www.jishuwen.com/d/2egl/zh-tw SQLMAP在進行sql注入時的整個流程


深入了解SQLMAP API

https://cloud.tencent.com/developer/article/1451915
https://zhuanlan.zhihu.com/p/56005857
https://zhuanlan.zhihu.com/p/43242220 sqlmap 内核分析 I: 基础流程
https://zhuanlan.zhihu.com/p/44157153  sqlmap 内核分析 II: 核心原理-页面相似度算法实践
https://zhuanlan.zhihu.com/p/45291193  sqlmap 内核分析 III: 核心逻辑