NoSQLMap NoSQL 自动攻击测试工具

程序名称：NoSQLMap

授权协议: GPL

操作系统: 跨平台

开发语言: Python

NoSQLMap 介绍

NosqlMap是一款开源Python工具，可以帮助安全测试人员自动化对Nosql数据库进行攻击测试。目前这款工具的漏洞利用程序围绕MongoDB，但是以后会支持更多的Nosql数据库，如
CouchDB, Redis和Cassandra。

NosqlMap是一款Python编写的开源工具，常用于审计Nosql数据库中的自动注入攻击、为了从数据库中揭露数据而利用Nosql数据库或使用Nosql的Web应用的默认配置弱点。

它这样命名是为了几年Bernardo damele和Miroslav创作的流行的sql工具sqlmap，它的设计理念来源于Ming
Chow在Defcon中发表的很棒的演讲-”Abusing Nosql
Databases”。该工具目前主要应用于MongoDB，但是它在未来的版本中还会支持其他基于Nosql的平台，如CouchDB,
Redis和Cassandra等。当前该项目的目的是为简单攻击MongoDB服务器和一些web应用提供渗透测试工具，以及用通过概念攻击来证明某Nosql应用不会受到sql注入。

主要功能：

• 自动化MongoDB和CouchDB数据库枚举和克隆攻击。

• 通过MongoDB web应用提取数据库名称、用户和哈希密码。

• 为使用默认访问和枚举版本的MongoDB和CouchDB数据库扫描子网或IP列表。

• 字典攻击、暴力破解恢复的MongoDB和CouchDB的哈希密码。

• 针对MongoClient的PHP应用程序参数注入攻击，返回所有数据库中的记录。

• Javascript函数变量转移和任意代码注入，返回所有数据库中的记录。

• 类似于盲sql注入的用于验证无来自应用程序的反馈的Javascript注入漏洞的时序攻击。

使用方法

启动

./nosqlmap.py

或

python nosqlmap.py.

基本菜单

1-Set options (do this first)
2-Nosql DB Access Attacks
3-Nosql Web App attacks
4-Exit

NoSQLMap 官网

http://www.nosqlmap.net