xia SQL (瞎注) – Burp Suite 扩展

xia SQL (瞎注)插件仅只插入单引号，没有其他盲注啥的，且返回的结果需要人工介入去判断是否存在注入，如果需要所有注入都测试，请把burp的流量转发到xray。

该扩展具有以下功能

• 返回  代表两个单引号的长度和一个单引号的长度不一致，表明可能存在注入。
• 返回  ==> ？ 代表着 原始包的长度和两个单引号的长度相同且和一个单引号的长度不同，表明很可能是注入。
• 返回 diy payload 代表自定义的payload。
• 返回 time > 3 代表访问网站的时间大于3秒，可利用该功能配合自定义payload功能测试时间盲注。
• 支持json格式，V1.9以上版本已支持json多层嵌套。
• 支持参数的值是纯数字则-1，-0。
• 支持cookie测试
• 支持右键发送到插件扫描（哪怕之前扫描过的，仍然可以通过右键发送再次扫描）备注：右键发送一定需要有响应包，不然发不过去，这样才能对比和原数据包的长度。
• 支持自定义payload。
• 支持自定义payload中的参数值置空。
• 监控Proxy流量。
• 监控Repeater流量。
• 同个数据包只扫描一次，算法：MD5(不带参数的url+参数名+POST/GET)。
• 支持白名单功能，若多个域名请用,隔开

下载：xia SQL