Python全栈（五）Web安全攻防之3.sqlmap的使用介绍

一、sqlmap获取目标

1.sql注入介绍

所谓SQL注入，就是通过把SQL命令插入到web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
具体来说，它是利用现有应用程序，将SQL命令注入到后台数据库引擎执行的能力，它可以通过在web表单中输入SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。
SQL注入可能发生在未知HTTP数据包中任意位置。
创建本地服务后，访问子页面/sqli-labs，点击Less-1，加入参数**?id=2**，会返回登录名和密码到网页上，如图

2.SQL输出级别

Sqlmap的输出信息按从简到繁共分为7个级别依次为0、1、2、3、4、5和6。使用参数-v来指定某个等级，如使用参数 -v 6来指定输出级别为6。

• 0：只显示Python的tracebacks信息、错误信息[ERROR]和关键信息[CRITICAL]
• 1：同时显示普通信息[INFO