etlownoise/xoloSQL Serverリンクをクロール、可視化、操作するツール。d3グラフ上でインタラクティブに表示し、レッド/ブルー/パープル/.../リスク評価、ペンテスト、ハッキングチーム演習に役立ちます。
著者: ET Lownoise バージョン: 1.0
SQLサーバーリンクをクロール、可視化、操作するためのツールで、d3グラフを使用して、レッド/ブルー/パープル/.../リスク評価、ペンテスト、ハッキングチーム演習に役立ちます。
Requests==2.18.4
Flask==0.12.2
Json
Pypyodbc
beautifulsoup4==4.6.0
lxml==4.1.0
例:
pip install pypyodbc
python -m pip install pypyodbc
- ダウンロード
- 解凍
- ディレクトリに配置
- 実行
c:\xolo>python main.py
...
* Running on http://127.0.0.1:5000/ (Press CTRL+C to quit)
- ブラウザで http://127.0.0.1:5000/ を開きます。
Twitter @etlow
MIT License
- グラフ表示時、ノードを左ダブルクリックでターゲットとして選択
- グラフ表示時、ノードを右ダブルクリックでソースとして選択
- 「変換」ボタンは、計算された最短経路に基づいて必要なクエリを表示します。ソースから選択したターゲットと直接対話する場合に使用します。
- 「クエリ」ボタンは、指定したクエリを最短経路でターゲットに送信します。
- 「すべてクエリ」ボタンは、指定したクエリを最短経路ですべてのノードに送信します。
- テストグラフは、D3コードを変更して視覚化を試すためのものです。
- グラフのバックアップが必要な場合は、data.jsonファイルをコピーしてください。
- 独自のクエリを追加したい場合は、queries.jsonを修正してください。
- ターミナル出力を確認して、Xoloがバックグラウンドで何をしているか追跡してください。
- 最大再帰レベルとノード数に注意し、低い値から始めてください（おそらく2〜3レベル、レベルあたり最大10ノード）。
- これは、D3を遊びながら学び、データベースリンクの可視化を行う必要があった私の練習課題でした。そのため、Xoloは以下の個人のコードを学習・修正することで実現しました：
DBリンク:
-Antti Rantasaari <antti.rantasaari[at]netspi.com>',
'Scott Sutherland "nullbind" <scott.sutherland[at]netspi.com
https://blog.netspi.com/how-to-hack-database-links-in-sql-server/
metasploit-framework/blob/master/modules/exploits/windows/mssql/mssql_linkcrawler.rb
D3/Javascript/Flask:
-Sumit Kumar https://github.com/reachsumit
-Mike Bostock https://bl.ocks.org/mbostock
-Simon Raper http://www.coppelia.io/2014/07/an-a-to-z-of-extra-features-for-the-d3-force-layout/
v1.0 2020年2月 初回リリース。SQL Server をサポート。