galact-byte hunt-sqli · SQL/NoSQL 注入猎杀
只解决注入到查询语句一类（SQL 与 NoSQL）。核心是对每个参数按错误型 → 布尔盲 → 时间盲递进判活，识别数据库类型，必要时绕 WAF。判定靠可控的响应差异/时延/报错，只做只读证明（sleep/布尔差异/版本号），不 dump 真实数据、不改写数据。
注入可读写数据库甚至 RCE，敏感且可能破坏。默认只做判活与最小证明（拿到 DB 版本/布尔可控/时延），不 DROP/UPDATE/不批量导出真实数据。payload、绕过、真实报告见 reference.md。
Scope（授权范围）
先确认授权。
落实：授权目标、允许深度（仅判活 / 允许读 schema / 禁止写与批量 dump）、是否允许时间盲注（会拖慢目标）。任一不清楚就停下问。
Goal
判定参数是否可注入查询，识别 DB 类型与注入类型（错误/布尔/时间/堆叠/NoSQL），给出可复现 PoC 与最小证明，不动真实数据。
Workflow
scope-check → recon → hunt → validate → report。
1. scope-check
- 动作：写
evidence/scope.txt（allow_time_blind / allow_schema_read）。 - 命令：
bash tools/recon.sh <target> --scope-only。 - 终止条件：scope 明确，否则 KILL。
2. recon
- 动作：枚举进查询的参数——
id/搜索/排序（order/sort）/过滤/分页，JSON body（NoSQL），数组参数（a[]=）。 - 输出：
recon/endpoints.json。 - 命令：
bash tools/recon.sh <target>。 - 终止条件：至少 1 个候选参数。
3. hunt
- 动作：对每个参数按
reference.md递进：①错误型（'、"、)触发 SQL 报错）②布尔型（' AND 1=1vs' AND 1=2响应差异）③时间型（' AND SLEEP(6)、;WAITFOR DELAY、pg_sleep）④NoSQL（[$ne]/[$gt]/$where）。以差异/时延判活。 - 输出：
candidates.json。 - 命令：
python tools/hunt_sqli.py --input recon/endpoints.json --output candidates.json [--delay 6]。 - 终止条件：
candidates.json生成。
4. validate → report
- 动作：过 7-Question Gate，对疑似点做最小证明（DB 版本/稳定布尔差）取证。任一 NO → killed。
- 命令：
bash tools/validate.sh candidates.json。 - 终止条件：每条 confirmed/killed，confirmed 有差异/时延/报错证据。
7-Question Gate（任一 NO 则 KILL）
- 目标在授权 scope 内？
- 参数确实拼进查询（错误/差异佐证）？
- 有客观信号（SQL 报错 / 稳定布尔差 / 可控时延），非猜测？
- 确实可注入查询逻辑（非普通参数校验报错）？
- 可复现（多次稳定，时延取中位排抖动）？
- 已留存报错/差异/时延证据？
- 影响可陈述，且未 dump 真实数据、未写库？
Finding 输出格式
### <Title>
- Severity: Critical | High | Medium | Low | Info
- Asset: <入口 + 参数>
- Reproduction: <注入类型 + payload + 请求；布尔/时延对照数据>
- Impact: <数据读取 / 认证绕过 / 堆叠→命令 可达性>
- Evidence: <evidence/ 报错 / 布尔差 / 时延日志>
- Status: confirmed | killed(<第几问 NO>)
参考
各注入类型 payload、DB 指纹、WAF 绕过、NoSQL、真实报告见 reference.md。