hunt-sqli

name	hunt-sqli
description	在授权渗透测试中挖掘 SQL/NoSQL 注入（SQLi、NoSQLi，含 WAF 绕过、盲注、堆叠查询、类型混淆注入）。当用户输入拼进 SQL/NoSQL 查询时使用——典型场景：id/搜索/排序/过滤参数、数组键当 SQL 片段、PHP 类型混淆、MongoDB `$where`/`$regex`、堆叠查询到 xp_cmdshell。适用目标类型 Web / REST API。触发场景包括用户说"测下 SQL 注入""这个参数能不能注入""盲注/时间注入试试""NoSQL/MongoDB 注入看一下"。输出：注入点 + 类型 + 证据的 finding（含 killed 记录）。
allowed-tools	Read, Grep, Glob, Bash

hunt-sqli · SQL/NoSQL 注入猎杀

只解决注入到查询语句一类（SQL 与 NoSQL）。核心是对每个参数按错误型 → 布尔盲 → 时间盲递进判活，识别数据库类型，必要时绕 WAF。判定靠可控的响应差异/时延/报错，只做只读证明（sleep/布尔差异/版本号），不 dump 真实数据、不改写数据。

注入可读写数据库甚至 RCE，敏感且可能破坏。默认只做判活与最小证明（拿到 DB 版本/布尔可控/时延），不 DROP/UPDATE/不批量导出真实数据。payload、绕过、真实报告见 reference.md。

Scope（授权范围）

先确认授权。

落实：授权目标、允许深度（仅判活 / 允许读 schema / 禁止写与批量 dump）、是否允许时间盲注（会拖慢目标）。任一不清楚就停下问。

Goal

判定参数是否可注入查询，识别 DB 类型与注入类型（错误/布尔/时间/堆叠/NoSQL），给出可复现 PoC 与最小证明，不动真实数据。

Workflow

scope-check → recon → hunt → validate → report。

1. scope-check

• 动作：写 evidence/scope.txt（allow_time_blind / allow_schema_read）。
• 命令：bash tools/recon.sh <target> --scope-only。
• 终止条件：scope 明确，否则 KILL。

2. recon

• 动作：枚举进查询的参数——id/搜索/排序（order/sort）/过滤/分页，JSON body（NoSQL），数组参数（a[]=）。
• 输出：recon/endpoints.json。
• 命令：bash tools/recon.sh <target>。
• 终止条件：至少 1 个候选参数。

3. hunt

• 动作：对每个参数按 reference.md 递进：①错误型（'、"、) 触发 SQL 报错）②布尔型（' AND 1=1 vs ' AND 1=2 响应差异）③时间型（' AND SLEEP(6)、;WAITFOR DELAY、pg_sleep）④NoSQL（[$ne]/[$gt]/$where）。以差异/时延判活。
• 输出：candidates.json。
• 命令：python tools/hunt_sqli.py --input recon/endpoints.json --output candidates.json [--delay 6]。
• 终止条件：candidates.json 生成。

4. validate → report

• 动作：过 7-Question Gate，对疑似点做最小证明（DB 版本/稳定布尔差）取证。任一 NO → killed。
• 命令：bash tools/validate.sh candidates.json。
• 终止条件：每条 confirmed/killed，confirmed 有差异/时延/报错证据。

7-Question Gate（任一 NO 则 KILL）

1. 目标在授权 scope 内？
2. 参数确实拼进查询（错误/差异佐证）？
3. 有客观信号（SQL 报错 / 稳定布尔差 / 可控时延），非猜测？
4. 确实可注入查询逻辑（非普通参数校验报错）？
5. 可复现（多次稳定，时延取中位排抖动）？
6. 已留存报错/差异/时延证据？
7. 影响可陈述，且未 dump 真实数据、未写库？

Finding 输出格式

### <Title>
- Severity: Critical | High | Medium | Low | Info
- Asset: <入口 + 参数>
- Reproduction: <注入类型 + payload + 请求；布尔/时延对照数据>
- Impact: <数据读取 / 认证绕过 / 堆叠→命令 可达性>
- Evidence: <evidence/ 报错 / 布尔差 / 时延日志>
- Status: confirmed | killed(<第几问 NO>)

参考

各注入类型 payload、DB 指纹、WAF 绕过、NoSQL、真实报告见 reference.md。