Daftar alat SQLi TERBAIK

Injeksi SQL, juga disebut SQLi, adalah teknik di mana aplikasi berbasis data dapat diserang melalui kode SQL yang disuntikkan secara berbahaya. Penyerang dapat mengakses, memodifikasi, atau menghancurkan database menggunakan SQLi. Ini adalah salah satu metode paling umum yang digunakan dalam peretasan web.

Meskipun injeksi SQL bisa berbahaya, mengeksekusi berbagai perintah melalui input halaman web untuk mengeksekusi SQLi bisa menjadi pekerjaan yang sangat sibuk. Dari mengumpulkan data hingga mengembangkan muatan yang tepat bisa menjadi tugas yang sangat memakan waktu dan terkadang membuat frustrasi. Di sinilah alat berperan. Ada banyak alat untuk menguji dan mengeksploitasi berbagai jenis injeksi SQL. Kami akan membahas beberapa yang terbaik.

Havij:

Havij (yang berarti wortel dalam bahasa Persia) adalah alat dari perusahaan keamanan Iran ITSecTeam. Ini adalah alat SQLi yang diaktifkan GUI, sepenuhnya otomatis dan mendukung berbagai teknik SQLi. Itu dikembangkan untuk membantu penguji penetrasi menemukan kerentanan di halaman web. Ini adalah alat yang ramah pengguna dan juga mencakup fitur-fitur canggih, jadi bagus untuk pemula dan profesional. Havij juga memiliki versi Pro. Hal yang menarik tentang Havij adalah tingkat keberhasilan injeksi 95% pada target yang rentan. Havij dibuat hanya untuk Windows, tetapi anggur dapat digunakan untuk membuatnya bekerja di Linux. Meskipun situs web resmi ITSecTeam telah lama mati, Havij dan Havij Pro tersedia di beberapa situs web dan Repos GitHub.

BBQSQL:

BBQSQL, yang dikenal sebagai kerangka kerja injeksi “Blind SQL”, membantu Anda memecahkan masalah saat alat eksploitasi yang tersedia tidak berfungsi. Ditulis dalam python, ini adalah semacam alat semi-otomatis yang memungkinkan Anda menyesuaikan temuan injeksi SQL yang kompleks. BBQSQL mengajukan beberapa pertanyaan dalam pendekatan berbasis menu dan kemudian membuat injeksi/serangan berdasarkan jawaban pengguna. Ini adalah alat yang sangat serbaguna dengan antarmuka bawaan yang membuatnya lebih mudah digunakan. Dan menggunakan python gevent membuatnya cukup cepat. Ini memberikan informasi tentang cookie, file, HTTP Auth, proxy, URL, metode HTTP, header, metode pengkodean, perilaku pengalihan, dan lainnya. Persyaratan pra-penggunaan termasuk mengonfigurasi parameter, opsi, dan kemudian mengonfigurasi serangan sesuai kebutuhan. Konfigurasi instrumen dapat diubah menggunakan frekuensi atau teknik pencarian biner. Itu juga dapat menentukan apakah injeksi SQL berfungsi hanya dengan mencari beberapa nilai tertentu dalam respons HTTP dari aplikasi. Pesan kesalahan ditampilkan oleh database yang mengeluh tentang sintaks SQL Query yang salah jika penyerang berhasil menggunakan SQL Injection. Satu-satunya perbedaan antara SQL buta dan injeksi SQL biasa adalah cara data diambil dari database.

Instal BBQSQL.

Raksasa.

Kata leviathan mengacu pada makhluk laut, setan laut, atau monster laut. Alat ini dinamai demikian karena sifatnya yang ofensif. Alat ini pertama kali diluncurkan di Arsenal pada Black Hat USA 2017. Ini adalah kerangka kerja yang terdiri dari banyak alat sumber terbuka termasuk masscan, ncrack, DSSS, dll. Untuk melakukan berbagai operasi termasuk SQLi, eksploitasi khusus, dll. Alat juga dapat digunakan dalam kombinasi. Ini biasanya digunakan untuk tugas pengujian penetrasi seperti menemukan mesin dan mengidentifikasi kerentanan, menghitung layanan yang berjalan pada mesin tersebut, dan menemukan peluang serangan melalui simulasi serangan. Itu dapat mendeteksi kerentanan di Telnet, SSH, RDP, MYSQL dan FTP. Leviathan sangat mahir memeriksa kerentanan SQL pada URL. Tujuan utama alat Leviathan adalah untuk melakukan pemindaian massal pada banyak sistem sekaligus. Keterampilan memeriksa kerentanan SQL membuat leviathan. Ketergantungan yang diperlukan untuk menggunakan Leviathan Framework adalah: bs4, shodan, google-API-python-client, lxml, paramiko, query.

Instal Leviathan.

Janda putih.

Whitewidow adalah alat yang biasa digunakan untuk pemindaian kerentanan dalam keamanan aplikasi dan pengujian penetrasi. Kebanyakan orang yang tertarik dengan alat ini adalah penguji pena dan profesional keamanan. Whitewidow juga open source dan merupakan pemindai kerentanan SQL otomatis yang dapat menggunakan daftar file atau Google untuk mengikis situs yang berpotensi rentan. Tujuan utama alat ini adalah untuk mempelajari dan memberi tahu pengguna seperti apa kerentanan itu. WhiteWidow membutuhkan beberapa dependensi untuk dijalankan, seperti mekanisasi, nokogiri, rest-client, webmock, rspec, dan vcr. Ini dikembangkan dalam bahasa pemrograman ruby. Ribuan kueri yang diteliti dengan cermat digunakan untuk mengikis Google untuk menemukan kerentanan di berbagai situs web. Ketika Anda meluncurkan Whitewidow, itu akan segera mulai memindai situs web yang rentan. Mereka nantinya dapat dioperasikan secara manual.

Instal WhiteWidow.

injeksi jSQL.

jSQL adalah alat injeksi SQL otomatis berbasis java, oleh karena itu dinamai jSQL.
Ini kompatibel dengan FOSS dan lintas platform. Itu dikompilasi menggunakan perpustakaan seperti Hibernate, Spock dan Spring. jSQL Injection mendukung 23 database yang berbeda termasuk Access, MySQL, SQL Server, Oracle, PostgreSQL, SQLite, Teradata, Firebird, Ingris dan banyak lagi. Injeksi jSQL diinstal GitHub: dan menggunakan platform Travis CI untuk integrasi berkelanjutan. Ini menguji beberapa strategi injeksi: normal, error, blind, dan waktu. Ini memiliki fitur lain seperti pencarian halaman administratif, hashing kata sandi brute force, Web shell dan pembuatan dan mirroring SQL shell, dll. jSQL Injection juga dapat membaca atau menulis file.
Injeksi jSQL tersedia pada sistem operasi seperti Kali, Parrot OS, Pentest Box, BlackArch Linux, dan distribusi pen-testing lainnya.

Instal jSQL.

Peta SQL:

SQLmap adalah alat otomatis yang ditulis dengan python yang secara otomatis memindai kerentanan SQL, mengeksploitasinya, dan membajak server basis data. Ini adalah perangkat lunak gratis dan open source dan mungkin merupakan alat yang paling populer untuk pena menguji target rentan SQLi. Ini adalah perangkat lunak gratis dan sumber terbuka dengan mesin pendeteksi yang luar biasa kuat. Dibuat oleh Daniele Bellucci pada tahun 2006, kemudian dikembangkan dan dipromosikan oleh Bernardo Damele. Langkah paling menonjol dalam pengembangan Sqlmap adalah Black Hat Europe 2009, yang menjadi sorotan dengan semua perhatian media. SQLmap mendukung tipe database, teknik SQL Injection, dan cracking password berdasarkan serangan berbasis kamus. Itu juga dapat digunakan untuk mengedit/mengunduh/mengunggah file dalam database. Perintah getsystem Meterpreter (Metasploit) digunakan untuk Privilege Escalation. Menambahkan perpustakaan impacket untuk tunneling ICMP. SQLmap menyediakan pengambilan hasil menggunakan resolusi DNS rekursif, jauh lebih cepat daripada metode berbasis waktu atau boolean. Kueri SQL digunakan untuk menjalankan kueri DNS yang diperlukan. SQLmap didukung dari python 2.6,2.7 dan python 3 dan seterusnya.
Menurut Ed Skudis, serangan SQLmap yang lengkap bergantung pada model 5 langkah:

1. Intelijen
2. Memindai
3. Beroperasi
4. Masuk
5. Meliputi trek

Instal SQLmap.

Atau

Meskipun daftar ini ringkas, daftar ini terdiri dari alat paling umum yang digunakan untuk menemukan dan mengeksploitasi SQLi. SQL Injection adalah kerentanan yang sangat umum dan muncul dalam berbagai bentuk, jadi alat ini sangat membantu untuk mendeteksi kerentanan ini dan membantu banyak penguji penetrasi dan anak skrip untuk melakukan pekerjaan dengan cara yang sangat mudah.

Selamat Menyuntikkan!

Penafian: Artikel yang ditulis di atas hanya untuk tujuan pendidikan. Merupakan tanggung jawab pengguna untuk tidak menggunakan alat di atas pada target tanpa izin.