Como parte de mi trabajo, pruebo las vulnerabilidades de las aplicaciones web con regularidad. Cuando se trata de Inyección SQL, mi metodología es comenzar por navegar manualmente el sitio web y rastrearlo, luego, enviar los parámetros que sospecho que interactúan con la base de datos a SQLMap.
Ahora, me pregunto si esta es la forma correcta de buscar Inyección SQL. ¿SQLMap podrá encontrar la mayoría de los tipos de inyección SQL o debería recurrir a las pruebas manuales en su lugar?
El uso de SQLMap será útil, ya que analiza las vulnerabilidades más conocidas y le ahorrará tiempo y dinero. Pero, la mayor amenaza es la imaginación y la capacidad de los hackers para explotar algo más complejo e inusual que el SQLMap puede encontrar. Para mí, la mejor manera de verificar las vulnerabilidades de inyección de SQL, y aún más tipos de vulnerabilidades, es pensar fuera de la caja. Conviértete en el atacante, no el defensor. Estas herramientas (como SQLMap) son parte de la solución, pero no la solución.
Creo que debería comprobar las vulnerabilidades de inyección de SQL manualmente, ya que tiene más probabilidades de detectar una vulnerabilidad, y adquiere más experiencia como profesional de la seguridad de la información. Por otro lado, no es bueno confiar en herramientas como SQLMap; En primer lugar, una herramienta no tiene la experiencia y el conocimiento que un humano, una herramienta se limita a usar diferentes tipos de explotaciones de Inyección de SQL, por lo que si detecta manualmente una vulnerabilidad de Inyección de SQL, puede solicitar datos para usar en un proceso automatizado. Con SQLMap, de esta manera, puede aprovechar su conocimiento sobre la detección de vulnerabilidades de inyección de SQL y cómo utilizar SQLMap para fines específicos; en segundo lugar, usar SQLMap sin una revisión manual previa podría ser peligroso, ya que, la Inyección de SQL podría ser parte de cualquier declaración de inserción, eliminación o actualización, luego, si no configura SQLMap correctamente, podría romper la integridad de la base de datos. Recuerde que SQLMap y otros softwares similares son solo herramientas y usted tiene que adquirir los conocimientos para usarlos correctamente.
Lea otras preguntas en las etiquetas sql-injection sql-server mysql injection sqlmap