如何使用腳本或程序自動測試我的網站是否存在SQL注入攻擊？

Question

我已經搜索並找到了一個good discussion here on SO，但它已經有幾年了。

有什麼程序，還是有一個簡單的腳本，我可以運行，以找到我的整個網站的URL中的SQL注入漏洞？

我希望運行腳本（PHP）或程序來抓取我的站點，從鏈接跳轉到鏈接，嘗試查找漏洞，並在發現時存儲該URL，以便獲得URL列表I需要修復。

這是存在嗎？

Answer 1

是和否。首先，我將通過說我不只是發佈鏈接，而是專業地使用所有這些工具進行安全審計，而不是作爲項目開發人員而是外部資源進行安排審計。請注意，通常sqlserver注入與mysql不同。

免費工具，例如帕羅代理[爬]（前面提到的），

burpsuite（前面提到的[爬行]，但主動攻擊需要親）：http://portswigger.net/burp/

sqlninja（SQLSERVER只）http://sqlninja.sourceforge.net/

谷歌大鼠代理：[抓取] http://code.google.com/p/ratproxy/

websecurify：[抓取] http://www.websecurify.com/

馬鹿： - http://wapiti.sourceforge.net/

日高[爬，但需要的設置工作，可以專門蜘蛛用於SQLI]：[爬網，但不是SQLI ...]

是偉大的！他們可以幫助您識別問題，但由於大量的誤報，需要進行大量的人員分析。商業工具可用，如：（[！爬網]最好的之一）

NTOSpider：http://www.ntobjectives.com/software/ntospider

是非常昂貴的，但說話的代表將讓你一段時間的免費副本（我有與他們一起完成）。他們通過在報告中提供驗證鏈接來更快速地對結果進行排序，但是您仍然需要訓練有素的眼睛和分析，因爲我發現了誤報。

最終，此問題的正確答案是： 您可以使用工具來幫助您確定是否存在安全漏洞（sqli）漏洞，但只有經過訓練的人員才能使用這些工具驗證它們。此外，只有正確的代碼審查和分析才能確定應用程序（甚至是非常好的應用程序）可能會漏掉的漏洞。

工具可以幫助，但您需要人工時間和分析才能正確執行此操作。代理和請求修剪器是通過注入來觸發應用程序的真正工具，並且完全是由經過培訓的測試人員或具有好奇心的人的謹慎意圖完成的。

Answer 2

我在我的網站測試的內容：

如果您已經登錄表格例如嘗試進入：

用戶名字段：anytext或1 = 1'

密碼字段：anypassword

如果你沒有在你的代碼中包含sql注入，你可以通過它登錄。

感謝

Answer 3

有檢測SQL注入程序，例如：

• BSQL Hacker

• Absinthe

• Acunetix Vulnerability Scanner

• Netsparker

Answer 4

的Burp Scanner作品非常好尋找SQL注入以及其他各種東西。你必須爲掃描儀支付300美元，但在市場上查看其他掃描儀時，這是相當便宜的。

詳細說明，您要查找的是Web應用程序漏洞掃描程序。這些將抓取您的網站並將攻擊媒介發送到各種參數。在我使用過的所有掃描儀中，Burp給了我最好的結果，並且表現出色。如果你正在尋找一個免費的替代品，你可以嘗試Grendel Scan它有一段時間沒有更新，但仍然工作得很好。尤其是免費的工具。

以下是其他一些漏洞掃描器的list。我相信你會找到滿足你需求的東西。

Answer 5

目前市場上有大量工具用於抓取所有頁面並檢測SQL注入。你應該閱讀這個討論它永遠不會延遲How can I prevent SQL injection in PHP?和Testing for security vulnerabilities in web applications: Best practices?。

我會建議Wapiti查找Web應用程序漏洞。 Acunetix超過了定價。

查看更多：

• web-application-security-testing-tools

Answer 6

我有兩個最喜歡的工具（均爲免費）：

1. sqlmap - 你給它一個URL，它會自動掃描漏洞。如果它進入，它會給你一個SQL提示符。
2. Paros Proxy - 這個需要一些時間來設置。您必須將瀏覽器配置爲使用代理，然後使用您的站點（登錄，導航到其他頁面等）。一旦你完成了，它將分析你所做的所有請求的緩存，並顯示它找到的潛在漏洞的報告。