sqlmap: automatisches SQL-Injection- und Datenbankübernahme-Tool

sqlmap ist ein Open-Source-Penetrationstest-Tool, das den Prozess der Erkennung und Ausnutzung von SQL-Injection-Fehlern und die Übernahme von Datenbankservern automatisiert. Es verfügt über eine leistungsstarke Erkennungs-Engine, viele Nischenfunktionen für den ultimativen Penetrationstester und eine breite Palette von Schaltern, die vom Datenbank-Fingerprinting über das Abrufen von Daten aus der Datenbank bis hin zum Zugriff auf das zugrunde liegende Dateisystem und die Ausführung von Befehlen auf dem Betriebssystem über Out-of-Band-Verbindungen reichen.

Funktionen

Vollständige Unterstützung für MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase, SAP MaxDB, Informix, MariaDB, MemSQL, TiDB, CockroachDB, HSQLDB, H2, MonetDB, Apache Derby, Amazon Redshift, Vertica, Mckoi, Presto, Altibase, MimerSQL, CrateDB, Greenplum, Drizzle, Apache Ignite, Cubrid, InterSystems Cache, IRIS, eXtremeDB, FrontBase, Raima Database Manager, YugabyteDB und Virtuoso Datenbankmanagementsysteme.
Vollständige Unterstützung für sechs SQL-Injektionstechniken: boolesche Blindeingabe, zeitbasierte Blindeingabe, fehlerbasierte Blindeingabe, UNION-Abfrage, gestapelte Abfragen und Out-of-Band.
Unterstützung für die direkte Verbindung zur Datenbank ohne Umweg über eine SQL-Injektion durch Angabe von DBMS-Anmeldeinformationen, IP-Adresse, Port und Datenbankname.
Unterstützung für die Aufzählung von Benutzern, Passwort-Hashes, Privilegien, Rollen, Datenbanken, Tabellen und Spalten.
Automatische Erkennung von Passwort-Hash-Formaten und Unterstützung für das Knacken von ihnen mit einem Wörterbuch-basierten Angriff.
Unterstützung für den Dump von Datenbanktabellen insgesamt, eine Reihe von Einträgen oder bestimmte Spalten nach Wahl des Benutzers.
Unterstützung für die Suche nach bestimmten Datenbanknamen, bestimmten Tabellen in allen Datenbanken oder bestimmten Spalten in allen Tabellen der Datenbanken.
Unterstützung für das Herunterladen und Hochladen beliebiger Dateien aus dem dem Datenbankserver zugrunde liegenden Dateisystem, wenn die Datenbanksoftware MySQL, PostgreSQL oder Microsoft SQL Server ist.
Unterstützung der Ausführung beliebiger Befehle und des Abrufs ihrer Standardausgaben auf dem dem Datenbankserver zugrunde liegenden Betriebssystem, wenn es sich bei der Datenbanksoftware um MySQL, PostgreSQL oder Microsoft SQL Server handelt.
Unterstützung des Aufbaus einer zustandsbehafteten Out-of-Band-TCP-Verbindung zwischen dem Rechner des Angreifers und dem dem Datenbankserver zugrunde liegenden Betriebssystem. Dieser Kanal kann eine interaktive Eingabeaufforderung, eine Meterpreter-Sitzung oder eine grafische Benutzeroberfläche (VNC) sein, je nach Wahl des Benutzers.
Unterstützung für die Ausweitung der Benutzerrechte von Datenbankprozessen über den Meterpreter getsystem-Befehl von Metasploit.

Eine vollständige Aufschlüsselung der Funktionen finden Sie im Wiki.

Download

Sie können den neuesten Zipball oder Tarball herunterladen.

Vorzugsweise können Sie sqlmap durch Klonen des Git-Repositorys herunterladen:

git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git sqlmap-dev

Dokumentation

sqlmap Benutzerhandbuch.
sqlmap Geschichte.
sqlmap Häufig gestellte Fragen (FAQ).
Material rund um sqlmap, das auf Konferenzen präsentiert wurde.

Demo

Watch more demos here.

Contribute

Alle Code-Beiträge sind sehr willkommen. Klonen Sie zunächst das Git-Repository, lesen Sie das Benutzerhandbuch sorgfältig durch, gehen Sie den Code selbst durch und schreiben Sie uns eine E-Mail, wenn Sie Schwierigkeiten haben, seine Struktur und Bedeutung zu verstehen.

Fehlerberichte sind willkommen! Bitte melden Sie alle Bugs im Issue Tracker. Unsere bevorzugte Methode zur Einreichung von Patches ist ein Git-Pull-Request.

Jeder Patch sollte eine logische Änderung enthalten. Bitte halten Sie sich an die bestehenden stilistischen Konventionen: umbrechen Sie Code auf 76 Spalten, wenn möglich. Vermeiden Sie Tabulatoren, verwenden Sie stattdessen vier Leerzeichen. Bevor du Zeit in einen nicht-trivialen Patch steckst, lohnt es sich, ihn privat per E-Mail zu besprechen.

Viele Leute haben auf unterschiedliche Weise zur Entwicklung von sqlmap beigetragen. Sie können der nächste sein!

Spenden

sqlmap ist das Ergebnis zahlreicher Stunden leidenschaftlicher Arbeit eines kleinen Teams von Computersicherheitsenthusiasten. Wenn Sie unsere Arbeit schätzen und sehen wollen, wie sqlmap weiterentwickelt wird, ziehen Sie bitte in Erwägung, uns mit einer Spende über PayPal an [email protected] oder durch Klicken auf die Schaltfläche unten zu unterstützen.

Wir akzeptieren auch Ƀitcoins an 1AUrrKYsamBEThdruYTQmUfMfLF7aaxU6x.

Lizenz

Dieses Programm ist freie Software; Sie dürfen es unter den Bedingungen der GNU General Public License, wie von der Free Software Foundation veröffentlicht, weitergeben und/oder modifizieren; Version 2 (oder höher) mit den in der Lizenzdatei beschriebenen Erläuterungen und Ausnahmen. Dies garantiert Ihnen das Recht, diese Software unter bestimmten Bedingungen zu verwenden, zu verändern und weiterzugeben. Wenn Sie die sqlmap-Technologie in proprietäre Software einbetten möchten, verkaufen wir alternative Lizenzen (wenden Sie sich an [email protected]).

Haftungsausschluss

Dieses Programm wird in der Hoffnung verteilt, dass es nützlich ist, aber OHNE JEGLICHE GARANTIE; sogar ohne die implizite Garantie der MARKTREIFE oder der EIGNUNG FÜR EINEN BESTIMMTEN ZWECK. Siehe die GNU General Public License v2.0 für weitere Details unter http://www.gnu.org/licenses/gpl-2.0.html.

Die Verwendung von sqlmap für Angriffe auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze zu befolgen. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für jeglichen Missbrauch oder Schaden, der durch dieses Programm verursacht wird.

Entwickler

Bernardo Damele A. G. (@bdamele)
Miroslav Stampar (@stamparm)

Sie können das Entwicklerteam kontaktieren, indem Sie an [email protected] schreiben.

sqlmap®