AutoSQLi, il nuovo modo in cui gli script-kiddies hackerano i siti web

Caratteristiche

• Sistema di salvataggio - esiste un sistema di salvataggio completo, che può riprendere anche quando il tuo PC si è bloccato. - la tecnologia è figa
• Dorking - da riga di comando (un dork): SÌ - da un file: NO - da una procedura guidata interattiva: SÌ
• Waffing - Grazie a Ekultek, WhatWaf ora ha una funzione di output JSON. - Quindi è per lo più finito :) - AGGIORNAMENTO: WhatWaf funziona completamente con AutoSQLi. Sqlmap è il prossimo grande passo
• Sqlmapping - Vedrò se esiste una specie di API sqlmap, perché non voglio usare execute questa volta (: - Sqlmap è figo
• REPORTING: SÌ
• Rest API: NO

DA FARE:

• Gestione dei log (logging con diversi livelli, pulitamente)
• Tradurre l'output (opzione per tradurre il salvataggio, che è in formato pickle, in un salvataggio json/csv)
• Correzione ortografica (correggere parole errate ed errori di coniugazione. Sono su Neovim in questo momento e non c'è controllo ortografico automatico)

Il Piano

Questo piano è un po' datato, ma seguirà questa idea

1. AutoSQLi sarà un'applicazione Python che, automaticamente, utilizzando un dork fornito dall'utente, restituirà un elenco di siti web vulnerabili a SQL injection.
2. Per trovare siti web vulnerabili, gli utenti forniscono prima un dork DOrking, che viene passato a findDorks.py, il quale restituisce un elenco di URL corrispondenti.
3. Quindi, AutoSQLi eseguirà alcuni controlli molto basilari (TODO: FORSE USANDO SQLMAP E LA SUA FUNZIONE --smart e --batch) per verificare se l'applicazione è protetta da un WAF, o se uno dei suoi parametri è vulnerabile.
4. A volte, i siti web sono protetti da un Web Application Firewall, o in breve, un WAF. Per identificare e aggirare questi WAF, AutoSQLi userà WhatWaf.
5. Infine, AutoSQLi sfrutterà il sito web usando sqlmap, e darà la scelta di fare qualsiasi cosa voglia!

Tor

Inoltre, AutoSQLi dovrebbe funzionare usando Tor di default. Quindi dovrebbe verificare la disponibilità di Tor all'avvio.

FAQ

Fico :)

Grazie

Sembra SQLiDumper, no ?

Sì, lo so.

Non combinare guai

Questo progetto è a scopo dimostrativo. Nessuno dovrebbe mai eseguire AutoSQLi. Davvero. Hackerare i DB è divertente, ma sai, ci sono ragazzi proprio come te e me che non vogliono vedere tutto il loro lavoro rovinato. Non vorrai mica fargli strappare i capelli, eh?