frevvomapexec

frevvomapexec — это скрипт для проверки наличия слепой SQL-инъекции путём внедрения задержки (в секундах) в Square 9 GlobalForms 6.2. Чтобы убедиться, что уязвимость реальна, конечному пользователю потребуется выполнить математическое вычисление (например, вычесть меньшее число из большего, результат в секундах). Если это значение приблизительно совпадает с параметром, заданным с помощью (-s), вы — счастливый обладатель SQL-инъекции. Также используйте SQLmap. Это ваш друг. И помните: это аутентифицированная SQL-инъекция! Но не отчаивайтесь: на сервере часто всё ещё включены учётные данные по умолчанию! По умолчанию freevomapexec использует стандартные учётные данные, так что зачастую всё в порядке!

Использование

Usage: frevvomapexec.py [-h] -t TARGET -s SECONDS -o PORT [-u] [-p]

    Сценарий Proof of Concept для проверки CVE-2018-8820.
     - Тип проблемы: Аутентифицированная слепая SQL-инъекция
     - Продукт: Square 9 GlobalForms
     - Версия: v6.2.x

Обязательно:

-t TARGET, --target TARGET        Целевой URL или IP-адрес
-s SECONDS, --seconds SECONDS     Количество секунд задержки во Frevvo
-o PORT, --port PORT              Порт веб-сервера Frevvo

Дополнительные аргументы:

-h, --help            показать это справочное сообщение и выйти
-u, --username        Имя пользователя для входа
-p, --password        Пароль для входа