Para realizar esta serie de pruebas, un auditor puede probar sus propias sentencias SQL, pero también cuenta con la herramienta llamada SQLmap.

Supongamos que nos topamos en una aplicación web un panel para hacer login. El típico que se ha de introducir el nombre de usuario y contraseña. Si antes de hacer un intento de login abrimos http headers podremos ver que peticiones enviamos a la aplicación.

Como se puede ver, al intentar meter de usuario admin y de contraseña admin se envía esta petición usando el método POST.

SQLmap trabaja con una serie de parámetros que se explicarán a continuación para este ejemplo.

Supongamos que se abre el terminal de Linux e introducimos la sentencia**.**

	*sqlmap -v 2 --url=http://192.168.1.37/index.php --delay=1 --timeout=15 --retries=2 --keep-alive --threads=5 --batch --dbms=MySQL --level=5 --risk=3 --banner --is-dba --dbs --data="uname=admin&psw=admin&btnLogin=Login" –tables*

Expliquemos los parámetros uno a uno:

• v Indica a SQLmap el tipo de verbose que queremos tener para ver los resultados.
• -url= indica a SQLmap el enlace de nuestro objetivo.
• -delay= indica el «retraso» entre cada intento para evitar bloquear la aplicación por un envío masivo de «sentencias».
• -timeout= indica el tiempo de espera entre cada intento, de nuevo para evitar bloquear la aplicación.
• -retries= indica a SQLmap los “intentos” que realizará para cada petición.
• -theads= Indica a SQLmap los envíos en paralelo que hará la aplicación.
• -batch activa el modo automático, el usuario no seleccionará ninguna opción que le pregunte a SQLmap para seguir procediendo con el análisis.
• -dbms= indica a SQLmap qué tipo de base de datos es la de nuestro objetivo.
• -level= indica a SQLmap el nivel de sentencias que va a probar, los niveles van del 1 al 5.
• -risk= indica a SQLmap el nivel de riesgo en el tipo de sentencias enviadas, siendo los niveles del 1 al 3.
• -banner indica a SQLmap que recoja y analice el banner de nuestro objetivo.
• -is-dba indica a SQLmap que detecte si el usuario de la base de datos trabaja como DBA.