免费SQL注入扫描程序

http://www.itjxue.com  2015-07-17 09:24  来源:未知  点击次数: 

大量的现代企业采用Web应用程序与其客户无缝地连接到一起,但由于不正确的编码,造成了许多安全问题。Web应用程序中的漏洞可使黑客获取对敏感信息(如个人数据、登录信息等)的直接访问。

  Web应用程序准许访问者提交数据,并可通过互联网从数据库中检索数据。而数据库是多数Web应用程序的心脏。数据库维持着Web应用程序将特定内容交给访问者的数据,Web应用程序在将信息交给客户、供应商时,也从数据库取得数据。

  SQL注入攻击是最为常见的Web应用程序攻击技术,它会试图绕过SQL命令。在用户输入没有“净化”时,如果执行这种输入便会表现出一种SQL注入漏洞。

  检查SQL注入漏洞主要涉及到两方面,一是审计用户的Web应用程序,二是通过使用自动化的SQL注入扫描器执行审记的最佳方法。在此,笔者罗列了一些对Web应用程序开发人员和专业的安全审计人员有价值的SQL注入扫描程序。

  一、SQLIer

  SQLIer可以找到网站上一个有SQL注入漏洞的URL,并根据有关信息来生成利用SQL注入漏洞,但它不要求用户的交互。通过这种方法,它可以生成一个UNION SELECT查询,进而可以强力攻击数据库口令。这个程序在利用漏洞时并不使用引号,这意味着它可适应多种网站。

  SQLIer通过“true/false”SQL注入漏洞强力口令。借助于“true/false” SQL注入漏洞强力口令,用户是无法从数据库查询数据的,只能查询一个可返回“true”、“false”值的语句。

  据统计,一个八个字符的口令(包括十进制ASCII代码的任何字符)仅需要大约1分钟即可破解。

  其使用语法如下,sqlier [选项] [URL]

  其选项如下:

  -c :[主机] 清除主机的漏洞利用信息

  -s :[秒]在网页请求之间等待的秒数

  -u:[用户名]从数据库中强力攻击的用户名,用逗号隔开。

  -w:[选项]将[选项]交由wget

  此外,此程序还支持猜测字段名,有如下几种选择:

  --table-names [表格名称]:可进行猜测的表格名称,用逗号隔开。

  --user-fields[用户字段]:可进行猜测的用户名字段名称,用逗号隔开。

  --pass-fields [口令字段]:可进行猜测的口令字段名称,用逗号隔开。

  下面说一下其基本用法:

  例如,假设在下面的URL中有一个SQL注入漏洞:

  http://example.com/sqlihole.php?id=1

  我们运行下面这个命令:

  sqlier -s 10 http://example.com/sqlihole.php?id=1从数据库中得到足够的信息,以利用其口令,其中的数字“10”表示要在每次查询之间等待10秒钟。

  如果表格、用户名字段、口令字段名猜测得正确,那么漏洞利用程序会把用户名交付查询,准备从数据库中强力攻击口令。

  sqlier -s 10 example.com -u BCable,administrator,root,user4

  然而,如果内建的字段/表格名称没有猜中正确的字段名,用户就可以执行:

  sqlier -s 10 example.com --table-names [table_names] --user-fields [user_fields] --pass-fields [pass_fields]

  除非知道了正确的表格名、用户名字段、口令字段名,SQLIer就无法从数据库中强力攻击口令。如图1:

  

扫描



  图1

(责任编辑:IT教学网)

更多

推荐SQL Server文章