SQL Injection desde BurpSuite

INTRODUCCIÓN:

Burp Suite es una herramienta que nos permite realizar pruebas de seguridad en las aplicaciones
web. Sus diversas herramientas funcionan perfectamente la cual apoya mucho en el proceso de
prueba de penetración a partir de la cartografía y el análisis inicial de la superficie de ataque de una
aplicación, hasta la búsqueda y explotación de las vulnerabilidades.

Muchas veces cuando se realiza auditoria a un sitio web, siempre es recomendable colocar un proxy
intermedio para saber y tener el control total de las peticiones enviadas y recibidas, para ello se
debe utilizar Burp Suite.

También es de conocimiento que en estas auditorías, la vulnerabilidad más conocida que se puede
presentar es la SQL Injection.

Para tal caso, en esta entrada presentare un Plugin totalmente gratuito desarrollado por ggdaniel
que nos servirá para usar el SQLmap desde el Burp Suite de una forma fácil y eficaz.

¿QUE ES SQLMAP?

Sqlmap es una herramienta de código abierto que ayuda a automatizar el proceso de detectar y
explotar las vulnerabilidades de inyección SQL permitiendo tener acceso total a la base de datos de
los servidores web.

¿QUE ES SQLMAP BURP PLUGIN?

Sqlmap plug-in es un complemento del que podemos configurar al Burp Suite a través del cual
podemos redirigir un URL o una solicitud directamente al Sqlmap con un solo clic.

EJECUTANDO BURP SUITE EN KALI LINUX

1. Iniciamos el BurpSuite en KaliLinux, después de su instalación

 Pantalla de Inicio de BurpSuite

2. Configurando la intercepción (primeramente lo dejamos en off)

3. Configurando el Proxy en el Navegador, abrimos el navegador (firefox) y colocamos en Proxy

HTTP: localhost y en el puerto: 8080
4. Configuramos las opciones en BurpSuite para la captura

5. Ingresamos a DVWA para probar la captura

6. Vemos que BurpSuite ya está capturando

7. Volvemos DVWA y hacemos una consulta de SQL

8. Habilitamos la intercepción de datos en BurpSuite y volvemos a la pantalla de DVWA y hacemos
click nuevamente en Submit después de ingresar el ID = 1
9. Resultado de la intercepción de datos, los datos del recuadro que se muestran nos sirven para
realizar la inserción SQL

10. Con los datos del recuadro hacemos correr el comando sqlmap en la consola:

11. Mostrando los resultados de la consulta, la cual nos muestra los datos obtenidos de la versión
del Sistema Operativo, del Gestor de Base de Datos y las Bases de Datos existentes.