SQLi

SQLi

Encontrar campo inyectable

Empezar la explotacion

Peticiones html

curl

BurpSuite

[?/=]contenido[;/'/nada]query

admin@test[;/']query

¿El vector esta en la URL?

¿El vector esta en un campo?

Si

No

¿El campo valida el formato?

[;/']query

Si

No

¿Obtenemos output?

Si

No

'order by -- -

¿Obtenemos output?

Encontrar las columnas que imprimen contenido

Seguir enumerando columnas

¿Obtenemos output?

SQLi time based

¿Obtenemos output?

SQLMAP

Blind SQLi

Si

No

No

No

Si

Si

¿Obtenemos output?

Comprobar que el nombre de las bases de datos y las tablas sea acorde al tipo de base de datos

Bypassear palabras en blacklist cambiando mayus

Bypassear uso de comillas en el nombre de la tabla o base de datos poniendo los nombres en hexadecimal

--data-urlencode

Enumerar todos los datos validos para un campo

campo=valor'or 1=1-- -

No

¿Obtenemos output?

campo=valor'or 1=1 limit 0,1-- -

Enumerar todos los valores

Si

Encontrar la palabra poniendola despues del comentario del order by

Enumerar bases de datos

¿Obtenemos output?

¿Obtenemos output?

Dumpeo de datos

No

No

Si

¿Dumpea todos los datos de la clumna?

group_concat(campo1,campo2)

¿Devuelve todas las tablas o columnas?

group_concat(schema_name/table_name/column_name)

Si

No

Credenciales

Si

No

Validarlas en todos los servicios o paneles de login

Guardarlas para una vez obtenido el acceso inicial loguarse directamente en la base de datos

Comprobar absolutamente cada campo para ver si es inyectable

Web

Burpsuite

Tener en cuenta que los paneles de login no tienen porque ser el mismo. Por ejemplo el login principal de una web y el panel de registro donde tambien te dan la opcion de loguearte pueden mandar peticiones diferentes y que por lo tanto en un login los campos sean inyectables y en otro no.