sqlipy

SQLiPyは、SQLMap APIを使用してSQLMapを統合するBurp Suite用のPythonプラグインです。

SQLMapにはRESTfulベースのサーバーが付属しており、SQLMapスキャンを実行します。このプラグインはAPIを自動的に起動するか、既に実行中のAPIに接続してスキャンを実行できます。

必要条件

Jython 2.7（2.7.2まで） Jython 2.7.3は使用しないでください。バグがあり、拡張機能が失敗する原因になります。 Java 1.7または1.8（Jython 2.7のベータ版ではこれが必要です）

注: 新しいバージョンのJavaでも動作するようです。jdk-11.0.7でのテストは正常に動作しており、新しいバージョンでも同様に動作するものと期待されます。

使用方法

SQLiPyはSQLMap APIサーバーの実行中のインスタンスに依存します。手動でサーバーを起動するには:

  python sqlmapapi.py -s -H <ip> -p <port>

または、SQLMap APIタブを使用して、実行するIP/ポート、およびシステム上のpythonとsqlmapapi.pyへのパスを選択することもできます。

SQLMap APIが実行されると、TargetまたはProxyのメインタブの'Request'サブタブ内で右クリックし、'SQLiPy Scan'を選択するだけです。

これにより、プラグインのSQLMap Scannerタブにそのリクエストに関する情報が表示されます。'Start Scan'ボタンをクリックするとスキャンが実行されます。

ページがSQLインジェクションに対して脆弱な場合、プラグインのスレッドが結果をポーリングし、Scanner Resultsタブに追加します。

詳細については、こちらの投稿を参照してください: https://www.codewatch.org/blog/?p=402