[SOLUCIONADO] Pentesting a Web -Sqlmap

Hola,
Debido a lo que he sacado de la página web que estaba auditando, le he encontrado un SQLi a uno de sus dominios, pero método POST.
hasta allí todo bien, a la hora te explotarla, Sqlmap se tarda horas y horas y no creo que debe tardar tanto...
¿Alguna idea? ¿Un parámetro o algo en especial?.
Lo estoy colocando de la siguiente forma:

sqlmap.py -u Los enlaces son solo para miembros. Registrate o iniciá sesión --dbms=MYSQL --level=5 --risk=3 --data="MÉTODO_POST" --dbs --random-agent --tamper=space2comment.py --user-agent=sqlmap

¿Me falta algo en especial o algo así?, ¿alguien que me pueda colaborar por MP para ayudarme a explotarla o algo así?

Gracias 

@D00mR3D , no acostumbro a usar herramientas para testear webs, te recomiendo que lo hagas a "mano", y por lo general SQLMap no demora tanto en inyectar.

Saludos!

Cita de: EPSILON en Junio 18, 2015, 01:31:26 PM
@D00mR3D , no acostumbro a usar herramientas para testear webs, te recomiendo que lo hagas a "mano", y por lo general SQLMap no demora tanto en inyectar.

Saludos!

Si, pero creo a mano inyectar  por método POST es mucho más complicado D:, pero Sqlmap debería hacerlo bien :/ , no sé, ¿No habrá otra solución?-

Para nada, es lo mismo que por GET , es mas hace poco realice un wargame con un reto así , cualquier cosa me mandas MP.

Saludos!

Cita de: EPSILON en Junio 18, 2015, 01:55:33 PM
Para nada, es lo mismo que por GET , es mas hace poco realice un wargame con un reto así , cualquier cosa me mandas MP.

Saludos!

Dale, a ver, voy a intentarla manualmente, haber que, adivinar tablas es lo jarto.
te mando mensaje privado si no me sale, para que me ayudes 
gracias bro, en serio

Cita de: D00mR3D en Junio 18, 2015, 01:18:46 PM
sqlmap.py -u Los enlaces son solo para miembros. Registrate o iniciá sesión --dbms=MYSQL --level=5 --risk=3 --data="MÉTODO_POST" --dbs --random-agent --tamper=space2comment.py --user-agent=sqlmap

@D00mR3D

Revisa el parámetro --data y elimina los parámetros que no sean necesarios para tu inyección, luego revisa si inyecta.

Para el parámetro --data recuerda que se saca así: Los enlaces son solo para miembros. Registrate o iniciá sesión

Saludos.

Cita de: blackdrake en Junio 18, 2015, 05:15:02 PM

Cita de: D00mR3D en Junio 18, 2015, 01:18:46 PM
sqlmap.py -u Los enlaces son solo para miembros. Registrate o iniciá sesión --dbms=MYSQL --level=5 --risk=3 --data="MÉTODO_POST" --dbs --random-agent --tamper=space2comment.py --user-agent=sqlmap

@D00mR3D

Revisa el parámetro --data y elimina los parámetros que no sean necesarios para tu inyección, luego revisa si inyecta.

Para el parámetro --data recuerda que se saca así: Los enlaces son solo para miembros. Registrate o iniciá sesión

Saludos.

Te envíe Mensaje Privado, leélo por favor.