实验原理
tamper脚本是SQLMAP中用于绕过waf或应对网站过滤逻辑的脚本。SQLMAP自带了一些tamper脚本,可以在tamper目录下查看它们。用户也可以根据已有的tamper脚本来编写自己的 tamper脚本(绕过逻辑)。
1.查看Tamper文件
在 Pentest-Atk攻击机上,进入桌面文件夹"tools"->“装机工
具"->"sqlmap-master"-> "tamper",选中 space2comment.py 文件,单击鼠标右
键,在弹出的菜单中选择"Edit with Notepad++":
3.查看SQLMAP调用tamper脚本文件 space2comment.py的过程
在命令行工具cmd 中输入以下命令,对SQLi-Labs 网站的Less-1执行SQL注入检测:
python sqlmap.py -u "http://[]/sqli-labs/Less-1/?id=1" --tamperspace2comment.py -v 3