SQLMap, herramienta de auditoria

Se ha añadido una nueva herramienta a la sección de útiles gratuitos del Instituto Nacional de TIC. SQLMap, una herramienta de auditoría web para detectar y explotar vulnerabilidades de inyección SQL.

La herramienta que se ha añadido es:

•SQLMap
Herramienta open-source desarrollada en python y especializada en la explotación de vulnerabilidades de tipo SQL Injection. SQLMap soporta gran variedad de motores de bases de datos (MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, etc.) por lo que la convierte en una herramienta de pentesting realmente útil para auditar entornos Web.

Imagen extraída de https://github.com/sqlmapproject/sqlmap

SQLMap se apoya también en el Framework Metasploit para llevar a cabo alguna de sus funciones de post-explotación. Algunas de las carácteristicas más destacables de esta herramienta son:
•Soporte completo para seis técnicas de inyección SQL: boolean-based blind, time-based blind, error-based, UNION query, stacked queries y out-of-band.

•Soporte para conectarse directamente a la base de datos sin utilizar una inyección SQL proporcionando credenciales DBMS, dirección IP, puerto y el nombre de base de datos.

•Enumeración de usuarios, hash de contraseñas, privilegios, roles, bases de datos, tablas y columnas.

•Reconocimiento automático de formatos hash y ataques basados en diccionario.

•Búsqueda de determinados nombres de bases de datos, tablas específicas a través de las bases de datos o columnas específicas a través de todas las tablas. Útil, por ejemplo, para identificar las tablas de credenciales donde los nombres de las columnas correspondientes contienen cadenas como name y pass.

•Descarga y subida de cualquier archivo del sistema de archivos subyacente al servidor de BBDD cuando el software de BBDD es MySQL, PostgreSQL o Microsoft SQL Server.

•Ejecución de comandos arbitrarios cuando el software de base de datos es MySQL, PostgreSQL o Microsoft SQL Server.

•Soporte para establecer una conexión TCP out-of-band entre la máquina atacante y el sistema servidor de base de datos operativo subyacente. Este canal puede ser una línea de comandos, una sesión en Meterpreter, o una sesión VNC.

Fuente: INTECO