Como explotar inyección SQL con SQLmap.

Hola a tod@s, aprovechando la anterior entrada que trata de la búsqueda automática de páginas web vulnerables a inyecciones SQL, aprovecharé esta entrada para hacer una guía básica de como explotar esta vulnerabilidad con la herramienta SQLmap.

Así describe la web oficial de SQLmap la herramienta:

SQLmap es una herramienta de prueba de penetración de código abierto que automatiza el proceso de detección y explotación de fallas de inyección de SQL y se hace cargo de los servidores de bases de datos. Viene con un poderoso motor de detección, muchas características de nicho para el último comprobador de penetración y una amplia gama de conmutadores que duran desde la toma de huellas dactilares hasta la obtención de datos de la base de datos, el acceso al sistema de archivos subyacente y la ejecución de comandos en el sistema operativo.

Bueno una vez visto la descripción de esta herramienta por encima, vamos a proceder a utilizar la herramienta del anterior post:

Os dejo un vídeo a parte de la guía escrita:

Aquí la guía escrita:

En este caso voy a elegir la siguiente URI: «http://www.f10products.co.za/index.php?id=5», una vez elegido el objetivo vamos a lanzar el comando más básico de SQLmap, este sirve para reconocer si la URI es realmente vulnerable a los ataques SQL injection, así podremos descartar falsos positivos:

– u: El parámetro «-u» sirve para especificar la URI que se supone que vamos a explotar.

Nos aparecerá algo parecido a la captura, respondemos como en la imagen.

El siguiente paso se nos preguntará, ya que el parámetro id es vulnerable, si deseamos probar otros parámetros, le decimos que no.

Tras lanzar el anterior comando, en caso de que la URI sea realmente vulnerable nos aparecerá algo parecido a lo siguiente:

Lo siguiente que vamos a realizar es listar las bases de datos que existen:

– u: El parámetro «-u» sirve para especificar la URI que se supone que vamos a explotar.

– dbs: Nos permite mostrar todas las bases de datos.

Tras lanzar el anterior comando nos deberá aparecer algo parecido a lo siguiente con las bases de datos existentes:

Ahora vamos a proceder a ver las tablas de la base de datos que elijamos, en mi caso elegiré la base de datos «healts_db2» y esto se hará con el siguiente comando:

– u: El parámetro «-u» sirve para especificar la URI que se supone que vamos a explotar.

– D:  Nos permite especificar que base de datos vamos a explotar.

– tables: Permitirá listar todas las tablas de la base de datos especificada.

Una vez lanzado el anterior comando deberá aparecer algo parecido a lo siguiente:

El siguiente paso que vamos a realizar es mostrar los atributos de una tabla, para ver que tipo de información se guarda en ella, esto se hará con el siguiente comando:

– u: El parámetro «-u» sirve para especificar la URI que se supone que vamos a explotar.

– D:  Nos permite especificar que base de datos vamos a explotar.

– T:  Nos permite especificar la tabla que vamos a explotar.

– columns:  Nos permite que listemos todas las columnas de la tabla que estamos explotando.

Una vez lanzado el comando nos deberá aparecer algo parecido a lo siguiente, donde se verán todos los atributos de la tabla explotada:

El último paso que vamos a realizar en esta guía básica es la de volcar los datos que existen en una tabla para poder visualizarlos posteriormente, esto se hará con el siguiente comando:

– u: El parámetro «-u» sirve para especificar la URI que se supone que vamos a explotar.

– D:  Nos permite especificar que base de datos vamos a explotar.

– T:  Nos permite especificar la tabla que vamos a explotar.

– dump: Permite volcar la información de la tabla especificada por pantalla, a parte esta también se almacena en un fichero .csv o log.

Tras lanzar el anterior comando se podrá ver algo parecido a lo siguiente dependiendo de la base de datos que estemos explotando:

Con esto acabo esta guía básica, espero que os haya gustado.

Un saludo, David. Gracias por visitar el blog.

3 comentarios sobre “Como explotar inyección SQL con SQLmap.

  1. BaKe01 Contestar

    Hola, tengo curiosidad de si sería posible descargar archivos contenidos en la base de datos que abrimos con SQLMAP
    De antemano muchas gracias !

    • david Autor del artículoContestar

      Buenos días BaKe, hasta donde tengo entendido, puedes leer los ficheros y subir una shell para después hacer lo que quieras, eso quiere decir que también puedes descargar ficheros. Un saludo, David.

    • david Autor del artículoContestar

      Buenos días BaKe, hasta donde tengo entendido, puedes leer los ficheros y subir una shell para después hacer lo que quieras, eso quiere decir que también puedes descargar ficheros. Un saludo, David.

Deja un comentario

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.