ANTICHAT — форум по информационной безопасности, OSINT и технологиям

https://ibb.co/tPj2GD0

хм... случайно не так --common-column. Даже не знаю что можно сделать, если только в аски вытаскивать,дальше декодировать...

не понял причем тут комон-колум , но ладно ) хз что с этим делать , первый раз такое вижу

когда я я брутил колонки так --common-column У меня подобная фигня была..

Нет колонки и вся прочая инфа збс выводится . судя по всему это никак не победить )

В лс кинь,может придумаемм что-то

Помогите крутануть

[21:12:05] [INFO] Host parameter 'Host' appears to be 'MySQL OR time-based blind (ELT - comment)' injectable

[21:36:03] [INFO] heuristic (XSS) test shows that GET parameter 'call' might be vulnerable to cross-site scripting (XSS) attacks

.SpoilerTarget" type="button">Spoiler: site
http://wiki.timezero.ru/lib/exe/ajax.php?call=1

доброго времени суток.

знаем, что в параметре blind-inj: при AND 1=1 - выводит Access Denied, при AND 1=0 - обычная страница. sqlmap не видит её, лишь что ему access denied выдают. как ему намекнуть что это верный возврат?

WAF: KONA Security Solutions (Akamai Technologies)

--

ответ: --code=403

--

что не помогло в случае с данной WAF

Помогите разобраться, постоянно прости токен при запуске, конкретно по этой ссылке, при этом через Sqli Dumper. база сливается спокойно, но криво.

https://paste.pics/5EOE3

Как с этим бороться?

GET parameter 'carttoken' appears to hold anti-CSRF token. Do you want sqlmap to automatically update it in further requests?

и чтобы не выбрал по итогу:

.SpoilerTarget" type="button">Spoiler: КОД
[13:42:18] [INFO] testing connection to the target URL

[13:42:25] [INFO] heuristics detected web page charset 'ISO-8859-2'

[13:42:25] [INFO] testing if the target URL content is stable

[13:42:32] [WARNING] target URL content is not stable (i.e. content differs). sqlmap will base the page comparison on a sequence matcher. If no dynamic nor injectable parameters are detected, or in case of junk results, refer to user's manual paragraph 'Page comparison'

how do you want to proceed? [(C)ontinue/(s)tring/(r)egex/(q)uit] с

[13:42:43] [INFO] ignoring GET parameter 'carttoken'

[13:42:43] [CRITICAL] all tested parameters do not appear to be injectable. Try to increase values for '--level'/'--risk' options if you wish to perform more tests. If you suspect that there is some kind of protection mechanism involved (e.g. WAF) maybe you could try to use option '--tamper' (e.g. '--tamper=space2comment') and/or switch '--random-agent'
[*] ending @ 13:42:43 /2019-04-27/

'action' is not recognized as an internal or external command,

operable program or batch file.

'ItemID' is not recognized as an internal or external command,

operable program or batch file.

'category' is not recognized as an internal or external command,

operable program or batch file.

'viewby' is not recognized as an internal or external command,

operable program or batch file.

'sortorder' is not recognized as an internal or external command,

operable program or batch file.
исход всегда один и тот же.

Просто я понять не могу, везде про csrf и anti-csrf пишут и показывают, речь идет о входа куда либо (usernameassword)

А это обычная страница с описанием товара. токен она отсылает, а где взять anti-csrf - ума не приложу.