Herramientas SQLi

Existen múltiples herramientas que nos pueden facilitar y de alguna manera automatizar la busqueda de vulnerabilidades del tipo 'sql injection' y posterior extracción de datos de la base de datos (en el caso de inyecciones blind se pueden tardar horas). De todas las que he probado quiero destacar tres:
- Havij: Sin duda alguna mi favorita por su rapidez y funcionalidad (de forma visual seleccionas la tabla y columnas que quieres extraer, incorpora la posibilidad de leer archivos de disco...)
http://www.itsecteam.com/en/projects/project1_page2.htm

- Pangolin: Herramienta comercial(dispone de free edition version 3.2.3, limitada en el estudio de ciertos DBMS). Se referencia su uso en la guía de pruebas de OWASP (https://www.owasp.org/index.php/SQL_Injection#References). Su uso es muy intuitivo, es fiable y rápida. Se puede descargar de:
http://www.nosec-inc.com/en/products/pangolin/20100804/38.html

- SQLmap: La más completa y eficaz. Se puede integrar con Metasploit pudiendo automatizar la ejecución de comandos, modificación de registro, inyectar VNC y otros payloads en la base de datos vía 'meterpreter'. Resulta especialmente para páginas páginas vulnerables a blind sql injections. También incluye web shells predeterminadas para la inclusión de ficheros en el servidor. No dispone de GUI, un ejemplo de uso sería:

sqlmap.exe -u http://URL/pagina.php?parameter=1 --proxy=http://127.0.0
.1:8118 --dump -T CLIENTES -C id, password,nombre,apellido,dni -D BASEDEDATOS

Mediante los parámetros le decimos que utilice un proxy local, y extraiga los datos de la tabla Clientes, las columnas que le facilitamos y la base de datos que queremos.La podéis descargar en: http://downloads.sourceforge.net/sqlmap/sqlmap-0.9.tar.gz

PenTest - Guía PTES

Interesante iniciativa que nos ofrece en fase pre-alfa una guía que se une a las metodologías y guías de pruebas ya existentes, por mencionar las más conocidas OSSTMM, ISSAF, OWASP (centrado en servicios web). PTES divide la ejecución de un test de intrusión en 7 fases, estas son:

• Pre-engagement Interactions: En este apartado básicamente se define el ámbito y alcance del test de intrusión. Se llega a un acuerdo con el cliente acotando la profundidad de las pruebas a realizar, permisividad de ataques (ataques DOS, fuerza bruta....), enfoque del test (caja negra, gris o blanca) presentación de evidencias (goals)....etc

• Intelligence Gathering: Recopilación de información de inteligencia competitiva publicada en motores de busqueda que nos dará una idea del objetivo que estamos estudiando y personas trabajan dentro de la empresa

• Threat Modeling: Con la información proporcionada por las dos fases anteriores, se definen lineas de negocios existentes, importancia de los activos IT (accesibles) visibles en nuestro estudio para definir vectores de ataques posteriores.

• Vulnerability Analysis: Como su propio nombre indica entramos en materia. De forma activa y ya 'tocando' el objetivo, se identificas puertos y servicios existentes en busca, de forma manual y automática vulnerabilidades existentes.

• Exploitation: La fase de verificación y explotación de vulnerabilidades. Se contempla forma de evasión de NIDS, HIPS, Antivirus y otras contramedidas existentes a nivel de red o EndPoint.

• Post Exploitation: Esta fase se centra en la recopilación de evidencias y en cómo valorar el impacto real de la intrusión y hasta donde podemos llegar desde el sistema comprometido. Se contempla borrado de huellas y hacer persistente el ataque (puertas traseras, conexión inversa o rootkits).

• Reporting: Explica qué deben contener los reportes (ejecutivo y técnico) que entreguemos como conclusión de nuestro estudio.

Espero que os resulte interesante.