Pangolin:Windows平台下的SQL注入检测工具
Pangolin 是一款针对 Windows 平台的自动化 SQL 注入检测工具,旨在帮助用户发现并防御 SQL 注入攻击。它提供了一体化的攻击姿势,从检验到运用,最大限度地提高了 SQL 注入攻击的实际效果。
支持的数据库类型
Pangolin 支持多种数据库类型,包括:
MS SQL Server: 获取目标信息,包括网络服务器版本、服务器名称、数据库名称、当前用户、当前用户权限、数据库目录等;执行 DOS 命令、加载注册表文件、读写文档、下载远程控制文档、导出数据到指定数据库服务器。
Oracle: 获取版本信息、IP 地址、当前用户、当前会话权限、IP 地址、实例名称、用户账户信息、外部 IP 地址;进行账户破解、SQL 注入漏洞利用。
MySQL: 获取版本、GPC 设置、数据库目录、临时文件目录、当前用户、操作系统信息、用户账户;读写文档。
Access: 获取数据库路径、网站根目录、硬盘信息;进行暴力破解。
PostgreSQL: 获取版本信息、数据库、当前用户、当前会话用户、端口号、数据路径、搜索路径;读写文档。
DB2: 待整理。
Sybase: 待整理。
Informix: 待整理。
SQLite: 待整理。
详细功能
Pangolin 提供了多种功能,包括:
一体化攻击姿势: 从检验到运用,最大限度地提高了 SQL 注入攻击的实际效果。
快速读取数据: 运用了联合查询语句,在关闭了所有报错的情况下也可以快速读取数据,而不仅仅是一个字母一个字母地猜解。
功能丰富: 每个数据库类型都会匹配基本上利润最大化的功能。
精确的查验方法: 在手工至少的情况下有较大的精确度。独创性的依据返回内容大小来最大限度的防止关键词。
关键词自动分析: 从 1.2.3.577 版本开始,可以自动分析关键词,无需用户手动输入。
软件特点
独创性的“关键词自动分析”技术: 可以绕过一些输入过滤服务器防火墙。
独创性的valide size分辨技术: 适用于代理。
手动设置HTTP头部: 可以手动设置任何HTTP头部,包括 User-Agent 和 Cookie 等信息,这在需要登录的平台且存在短信验证码时非常有用。
支持 HTTPS。
使用方法
下载并安装 Pangolin。
配置 HTTP 头部、代理、扫描项和高级项。
选择目标数据库类型,输入目标 URL 和 SQL 注入点。
点击“开始扫描”按钮,等待扫描结果。
根据扫描结果,采取相应的防御措施。
总结
Pangolin 是一款功能强大的 SQL 注入检测工具,可以帮助用户发现并防御 SQL 注入攻击。它支持多种数据库类型,提供了丰富的功能,并且操作简单易用。