SQL 인젝션(SQL Injection)이라는 해킹기법이 알려진지 오래 되었지만, 아직도 많은 웹 사이트들은 해당 취약점을 갖고 운영되고 있다. 온라인에는 이 취약점을 이용할 수 있는 많은 자동화 툴들이 공개되어 보안을 공부하지 않은 사람들도 쉽게 취약점이 존재하는 웹 사이트를 해킹할 수 있는것이 현실이다. 이 문서에서는 해커들이 자주 사용하는 해킹 툴에 대해 정리하여 개발자 및 웹 사이트 운영자들이 자신이 개발한 웹사이트와 운영하고 있는 웹사이트 들의 보안성을 확인할 수 있도록 돕고자 한다. 이 주제는 윈도우 편과 리눅스 편, 두 편으로 나뉠 예정이며 지금 보고 있는 이 글은 그 첫번째인 윈도우 편이다.
1. jSQL Injection
설명: Java로 개발된 무료 오픈소스 프로그램이다.
지원되는 운영체제: Windows, Linux, Mac OS, Solaris...
기능: 데이터 베이스 검색, 관리자 페이지 탐지, 파일 읽기, Web Shell, 파일 업로드, 인코딩 등 기능을 지원하며, Access，CockroachDB，CUBRID，DB2，Derby，Firebird，H2，Hana，HSQLDB，Informix，Ingres，MaxDB，Mckoi，MySQL，Neo4j，NuoDB，Oracle 등 23가지 데이터 베이스에 대한 인젝션 공격이 가능하다.
공식 사이트: https://github.com/ron190/jsql-injection
2, DSSS
설명: Python 언어로 개발된 가벼운 SQL 인젝션 프로그램이다.
지원되는 운영체제: Python 이 설치된 모든 운영체제
기능: GET & POST를 지원하며 HTTP 프록시 및 User-Agent, Referer, Cookie 에 대한 변조가 가능하다.
공식 사이트: https://github.com/stamparm/DSSS
3, BSQL Hacker
설명: Portcullis Labs 에서 개발한 SQL 인젝션 툴이다.
지원되는 운영체제: Windows
기능: 각종 Blind SQL Injection 공격기능을 지원한다.
공식 사이트: https://github.com/portcullislabs/bsql-hacker
4, Pangolin
설명: 중국 보안업체 NOSEC에서 개발한 SQL 인젝션 툴이다.
지원되는 운영체제: Windows
기능: 거의 모든 SQL 서버에 대한 인젝션 공격이 가능하고, 기능이 강력한 편이다.
공식 사이트: https://nosec.org/
5, Havij
설명: 이란해커들에 의해 제작된 프로그램이며, "Havij"는 페르시아어로 "당근"을 뜻한다. 남자의 거시기를 가리키는 속어이기도 하다.
지원되는 운영체제: Windows
기능: 전 세계 해커들에게 각광받고 있는 SQL 인젝션 툴로서 MySQL, Oracle, PostgreSQL, MS Access, Sybase 등 데이터 베이스에 대한 인젝션이 가능하다. 공격 성공율은 95%에 달하며, 특히 PHP 웹사이트에 대한 성공율이 높은편이다.
공식 사이트: http://www.itsecteam.com/ (현재 접속 안됨)
6, Enema SQLi
설명: 다른 자동화 된 SQL 인젝션 툴과는 달리 Enema SQLi는 SQL Injection 취약점에 대한 이해가 필요하며 수작업으로 공격을 진행해야 한다. 개발자 mastermind는 프로그램 이용자들이 자신이 뭘하고 있는지를 알아야 사용이 가능할 것이라고 말했다.
지원되는 운영체제: Windows
기능: 사용자가 설정한 구문과 플러그인으로 SQL Server와 MySQL 에 대한 공격이 가능하다. error-based, Union-based 및 blind time-based를 기반으로 하는 공격을 지원한다.
공식 사이트: https://code.google.com/archive/p/enema/
7, SQL Poizon
설명: 사용이 간편하고 사전지식이 필요없이도 프로그램을 쉽게 사용할 수 있다.
지원되는 운영체제: Windows
기능: 검색엔진을 통해 SQL 인젝션 취약점이 있는 페이지를 검색할 수 있으며, 웹 브라우저 기능이 내장되어 있어 SQL 인젝션 공격결과를 직접 확인할 수 있다.
공식 사이트:
8, HackBar
설명: HackBar는 수동으로 웹 해킹을 할 수 있도록 도와주는 웹 브라우저 플러그인이다.
지원되는 운영체제: Chrome, Firefox
기능:
공식 사이트: https://chrome.google.com/webstore/detail/hackbar/ginpbkfigcoaokgflihfhhmglmbchinc
9, SQLMap
설명: 보안에 관심있는 분이라면 누구나 들어보셨을 SQL 인젝션 프로그램 SQLMap 이다.
지원되는 운영체제: Python 환경이 구축된 모든 운영체제
기능: ASP, PHP, JSP 등 모든 웹 환경에 대한 퍼포먼스가 뛰어 납니다. 현재는 SQL 인젝션 툴로서는 거의 원탑이라고 볼 수 있다.
공식 사이트: https://sqlmap.org/
10, The Mole
설명: 오픈소스 SQL 인젝션 툴 이다.
지원되는 운영체제: Python 환경이 구축된 모든 운영체제
기능: IPS/IDS에 대한 우회가 가능하며, SQL Server, MySQL, Postgres와 Oracle 데이터 베이스에 대한 인젝션 공격을 지원한다.
공식 사이트: https://github.com/tiankonguse/themole
11, SQL Power Injector
설명: C# 언어로 개발 된 오픈소스 SQL 인젝션 툴
지원되는 운영체제: Windows, Unix, Linux
기능: SSL기능을 지원하고 SQL Server, Oracle, MySQL, Sybase/Adaptive Server, DB2에 대한 공격을 지원한다.
공식 사이트: http://www.sqlpowerinjector.com/
다음에는 리눅스 환경에서 사용할 수 있는 툴들을 소개해 보도록 하겠습니다.
'보안이야기 > 보안문서' 카테고리의 다른 글
| 윈도우 보안을 위해서 PowerShell 기능 끄기 (0) | 2023.10.27 |
|---|---|
| Ubuntu 20.04 환경에서 Nessus 10.3.0의 오프라인 설치와 크랙 (0) | 2022.12.30 |
| 2022년 화이트 해커의 필수 도구 TOP 10 (0) | 2022.12.28 |
| SQL 인젝션 프로그램 총정리 - 리눅스 편 (0) | 2022.03.04 |
| bot 웸을 이용한 해킹 동영상 (0) | 2022.02.27 |
