sqlipy

SQLiPy es un plugin de Python para Burp Suite que integra SQLMap usando la API de SQLMap.

SQLMap viene con un servidor basado en RESTful que ejecutará escaneos de SQLMap. Este plugin puede iniciar la API por ti o conectarse a una API ya en ejecución para realizar un escaneo.

Requisitos

Jython 2.7 (hasta 2.7.2) NO USE Jython 2.7.3, tiene un error que causará que la extensión falle Java 1.7 o 1.8 (la versión beta de Jython 2.7 requiere esto)

Nota: Las versiones más recientes de Java parecen funcionar. Las pruebas con jdk-11.0.7 funcionan bien y se espera que las versiones más nuevas también funcionen.

Uso

SQLiPy depende de una instancia en ejecución del servidor de la API de SQLMap. Puedes iniciar manualmente el servidor con:

  python sqlmapapi.py -s -H <ip> -p <port>

O puedes usar la pestaña SQLMap API para seleccionar la IP/Puerto en la que ejecutar, así como la ruta a python y sqlmapapi.py en tu sistema.

Una vez que la API de SQLMap está en ejecución, solo es cuestión de hacer clic derecho en la subpestaña 'Request' de las pestañas principales Target o Proxy y seleccionar 'SQLiPy Scan'.

Esto llenará la pestaña SQLMap Scanner del plugin con información sobre esa solicitud. Al hacer clic en el botón 'Start Scan' se ejecutará un escaneo.

Si la página es vulnerable a inyección SQL, entonces un hilo del plugin consultará los resultados y los agregará a la pestaña Scanner Results.

Para más información, consulta la publicación aquí: https://www.codewatch.org/blog/?p=402