¿Qué es SQLMAP y para qué sirve?
SQLMAP es una herramienta de prueba de penetración diseñada para automatizar la detección y explotación de vulnerabilidades de inyección SQL en aplicaciones web. La inyección SQL es una técnica comúnmente utilizada por hackers para comprometer la seguridad de una aplicación al insertar código SQL malicioso en las consultas de la base de datos. SQLMAP simplifica este proceso al proporcionar una interfaz automatizada para encontrar y explotar estas vulnerabilidades.
Uso de SQLMAP y aplicación práctica:
La primera tarea es identificar una aplicación web vulnerable a la inyección SQL. En este caso, utilizamos MetaSploitable 2, y se señala un parámetro llamado «ID» que parece ser susceptible. Mediante la manipulación de la consulta SQL a través de comillas, se confirma la existencia de la vulnerabilidad.
Uso de SQLMAP desde la terminal
Con la vulnerabilidad identificada, procedemos a utilizar SQLMAP desde la terminal de Kali Linux. Especificamos la URL del objetivo y proporcionamos la sesión de Cookie necesaria para realizar las pruebas. SQLMAP realiza automáticamente pruebas exhaustivas utilizando diversas secuencias SQL para detectar posibles vulnerabilidades.
Exploración de la base de datos
Una vez confirmada la vulnerabilidad, se inicia la exploración de la base de datos. SQLMAP revela las bases de datos disponibles, y a partir de aquí, elegiremos la base de datos que nos interese para obtener información sobre su estructura y datos.
Obtención de información crítica
Finalmente, se extraen datos críticos de la base de datos, como nombres de usuario y contraseñas.
