【工具推荐】半自动化sql注入burp插件

xiaSQL (瞎注)

一个简单的判断注入小插件。

插件使用描述

•默认使用jdk1.8编译•在最新版的burp2.x中jdk为1x,会导致插件不可用,请下载jdk16版本试试,若还不行，请自行下载源码使用当前电脑的jdk1x进行编译。•返回 ✔️ 代表两个单引号的长度和一个单引号的长度不一致，表明可能存在注入。•返回 ✔️ ==> ？ 代表着 原始包的长度和两个单引号的长度相同且和一个单引号的长度不同，表明很可能是注入。•返回 Err 代表响应包中含有数据库报错信息。•返回 diy payload 代表自定义的payload。•返回 time > 3 代表访问网站的时间大于3秒，可利用该功能配合自定义payload功能测试时间盲注。•支持json格式，V1.9以上版本已支持json多层嵌套。•支持参数的值是纯数字则-1，-0。•支持cookie测试•支持右键发送到插件扫描（哪怕之前扫描过的，仍然可以通过右键发送再次扫描）备注：右键发送一定需要有响应包，不然发不过去，这样才能对比和原数据包的长度。•支持自定义payload。•支持自定义payload中的参数值置空。•监控Proxy流量。•监控Repeater流量。•同个数据包只扫描一次，算法：MD5(不带参数的url+参数名+POST/GET)。•支持白名单功能，若多个域名请用,隔开

插件使用截图

自定义payload

'%20and%20sleep(3)%23‘/**/and/**/'6'='6‘/**/and/**/'6'='7‘/**/or/**/'6'='6‘/**/or/**/'6'='7'/**/and/**/DBMS_PIPE.RECEIVE_MESSAGE('p',5)='p'/**/or/**/DBMS_PIPE.RECEIVE_MESSAGE('p',5)='p'/**/and/**/(select%206620%20from%20(select(sleep(5)))mldt)/**/and/**/'1'='1/**/and/**/4=4/**/and/**/4=5/**/or/**/4=4/**/or/**/4=5/**/and/**/DBMS_PIPE.RECEIVE_MESSAGE('p',5)=2/**/or/**/DBMS_PIPE.RECEIVE_MESSAGE('p',5)=2/**/and/**/(select%206620%20from%20(select(sleep(5)))mldt)/**/and/**/2=2'''')')('...

工具下载地址

https://github.com/smxiazi/xia_sql

原文始发于微信公众号（云鸦安全）：【工具推荐】半自动化sql注入burp插件