sqlmap+burpsuit联合使用

sqlmap+burpsuit

sqlmap可以批量扫描burpsuit导出的requests日志文件，从而进行批量扫描是否存在SQL注入。

首先设置burpsuit记录代理的Requests 把记录的日志文件保存在sqlmap的目录下 sqlmap读取log文件，实现批量自动化测试

##如果log文件中有sqlmap无法读取的字符，会读取失败##

 

保存请求包日志

 

 

执行命令：python sqlmap.py -l burp.log --batch -smart

 

执行之后，Linux下，会保存到sqlmap文件夹下的 output 文件夹下；windows下，测试的URL会保存到 C:\User\Administrator\.sqlmap 文件夹下。

我的超级管理员用户是DELL，所以在DELL文件夹下

 

 

注入类型和payload等都会保存在log文件中

 

原文：https://www.cnblogs.com/Hunter-01001100/p/12377301.html