Sqlmap使用指南

Sqlmap的使用

使用流程：

当给sqlmap一个url的时候，它会有如下流程：

1、判断可注入的参数

2、判断可用哪种SQL注入技术进行注入

3、识别出哪种数据库

4、根据用户选择，读取哪些数据

支持的模式（5种）

1、基于布尔的盲注，即可根据返回页面判断条件的真假的注入

2、基于时间的盲注，即不能根据页面返回内容判断任何信息，用条件语句查看时间延迟语句是否执行（通过页面返回时间是否增加来判断）

3、基于报错的盲注，即页面会返回错误信息，或者把注入的语句的结果直接返回在页面中

4、联合查询注入，可以使用union的情况下进行注入

5、堆查询注入，可以同时执行多条语句的执行注入

Sqlmap支持的数据库：

MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase和SAP MaxDB

可以提供一个简单的URL，Burp或WebScarab请求日志文件，文本文档中的完整http请求或者Google的搜索，匹配出结果页面，也可以自己定义一个正则来判断那个地址去测试。测试GET参数，POST参数，HTTP Cookie参数，HTTP User-Agent头和HTTP Referer头来确认是否有SQL注入，它也可以指定用逗号分隔的列表的具体参数来测试。可以设定HTTP(S)请求的并发数，来提高盲注时的效率。

Sqlmap的等级（7个等级）

如果想观察sqlmap对一个点时怎么进行尝试判断及读取数据的，可以使用参数-v

共有7个等级，默认为1

0、只显示python错误及严重的信息

1、同时显示基本信息和警告信息。（默认）

2、同时显示debug信息

3、同时显示注入的payload

4、同时显示HTTP请求

5、同时显示HTTP响应头

6、同时显示HTTP响应页面

相关的参数：（在前面的都是常用的）

-u/--url:获取目标url，格式：http(s)://targeturl[:port]/[…]

-r:从文件中获取HTTP请求，可以跳过设置一些其他参数（如cookie、POST数据等）

--dbs:列出数据库系统的数据库（当前用户有权限读取包含所有数据库列表信息的表中的时候，即可列出所有的数据库）

--tables:列举数据库表

--columns:列举数据库表中的字段

-D,-T,-C：在得知数据库，表名，字段名时，联立读取数据，后面加上--dump

-m：从文本中获取多个目标扫描

-l：从Burp或者WebScarab代理中获取日志，交给sqlmap来一个个检测是否有注入

-g：sql可以检测注入Google搜索结果中GET参数（只获取前100个结果）

python sqlmap.py -g "inurl:\".php?id=1\""

--force-ssl：当请求是HTTPS的时候需要配合这个参数，或者在Host头后面加上：443

--data：该参数是把数据以POST方式提交

python sqlmap.py -u "http://www.target.com/vuln.php" --data="id=1" -f --banner --dbs --users

--param-del：GET或POST的数据需要用其他字符分割测试参数的时候用

python sqlmap.py -u "http://www.target.com/vuln.php" --data="query=foobar;id=1" --param-del=";" -f --banner --dbs --users

--cookie，--load-cookies,--drop-set-cookie:

该参数在两方面有用：web应用登录时，想要在这些头参数中测试SQL注入时。可以通过抓包把cookie获取到，复制出来，然后加到--cookie参数里。在HTTP请求中，遇到Set-Cookie的话，sqlmap会自动获取并且在以后的请求中加入，并且会尝试SQL注入。如果你不想接受Set-Cookie可以使用--drop-set-cookie参数来拒接。

当使用-cookie参数时，当返回一个Set-Cookie头的时候，sqlmap会询问你用哪个cookie来继续接下来的请求。当--level的参数设定为2或者2以上的时候，sqlmap会尝试注入Cookie参数。

--user-agent，--random-agent：默认sql的HTTP的请求头中User-Agent值为

sqlmap/1.0-dev-xxxxxxx (http://sqlmap.org)

可以使用--user-anget参数来修改，同时也可以使用--random-agnet参数来随机的从./txt/user-agents.txt中获取。

当--level参数设定为3或者3以上的时候，会尝试对User-Angent进行注入。

--referer：sqlmap可以在请求中伪造Referer，当--level参数设定为3或者3以上的时候会尝试对referer注入。

--headers：通过该参数来增加额外的http头

--auth-type,--auth-cred：可以用来登录HTTP的认证保护支持的三种方式：Basic、Digest、NTLM

python sqlmap.py -u "http://192.168.136.131/sqlmap/mysql/basic/get_int.php?id=1" --auth-type Basic --auth-cred "testuser:testpass"

--auth-cert：HTTP协议的证书认证，当Web服务器需要客户端证书进行身份认证时，需要提供两个文件：key_file,cert_file

key_file是格式为PEM文件，包含着你的私钥，cert_file是格式为PEM的连接文件。

--proxy,--proxy-cred,--ignore-proxy:HTTP(S)代理

使用--proxy代理是格式为：http://url:port。

当HTTP(S)代理需要认证是可以使用--proxy-cred参数：username:password。

--ignore-proxy拒绝使用本地局域网的HTTP(S)代理。

--scope：利用正则过滤目标网址

python sqlmap.py -l burp.log --scope="(www)?\.target\.(com|net|org)"

--safe-url,--safe-freq：避免过多的错误请求被屏蔽

有的web应用程序会在你多次访问错误的请求时屏蔽掉你以后的所有请求，这样在sqlmap进行探测或者注入的时候可能造成错误请求而触发这个策略，导致以后无法进行。

绕过这个策略有两种方式：

1、--safe-url：提供一个安全不错误的连接，每隔一段时间都会去访问一下。

2、--safe-freq：提供一个安全不错误的连接，每次测试请求之后都会再访问一边安全连接。

--eval：每次请求时候自定义的python代码

在有些时候，需要根据某个参数的变化，而修改另个一参数，才能形成正常的请求，这时可以用--eval参数在每次请求时根据所写python代码做完修改后请求。

python sqlmap.py -u "http://www.target.com/vuln.php?id=1&hash=c4ca4238a0b923820dcc509a6f75849b" --eval="import hashlib;hash=hashlib.md5(id).hexdigest()"

--dbms：默认情况会自动探测web应用后端的数据库

--os：默认情况自动探测数据库服务器系统

--prefix,--suffix：注入payload，有些环境需要注入的payload的前面或者后面加一些字符，来保证payload的正常执行。

例如，代码中是这样调用数据库的：

$query = "SELECT * FROM users WHERE id=(’" . $_GET[’id’] . "’) LIMIT 0, 1";

这时你就需要--prefix和--suffix参数了：

python sqlmap.py -u "http://192.168.136.131/sqlmap/mysql/get_str_brackets.php?id=1" -p id --prefix "’)" --suffix "AND (’abc’=’abc"

这样执行的SQL语句变成：

$query = "SELECT * FROM users WHERE id=(’1’) <PAYLOAD> AND (’abc’=’abc’) LIMIT 0, 1";

--level：探测等级，共有5个等级，默认为1，等级越高，探测的越全面

--risk：风险等级，共有4个风险等级，默认为1，会测试大部分测试语句，2会增加基于事件的测试语句，3会增加OR语句的SQL注入测试

--second-order：二阶SQL注入，有些时候注入点输入的数据看返回结果的时候并不是当前的页面，而是另外的一个页面，这时候就需要你指定到哪个页面获取响应判断真假。--second-order后面跟一个判断页面的URL地址。

-b,--banner：返回数据库的版本号

-current-user：获取管理数据的用户

--current-db：返回当前连接的数据库

--users：当前用户有权限读取包含所有用户的表权限时，列出所有管理用户

--passwords：当前用户有权限读取包含用户密码的彪的权限时，sqlmap会现列举出用户，然后列出hash，并尝试破解。

--schema,--exclude-sysdbs：用户可以用此参数获取数据库的架构，包含所有的数据库，表和字段，以及各自的类型。

加上--exclude-sysdbs参数，将不会获取数据库自带的系统库内容。

$ python sqlmap.py -u "http://192.168.48.130/sqlmap/mysql/get_int.php?id=1" --schema --batch --exclude-sysdbs

--search：可以用来寻找特定的数据库名，所有数据库中的特定表名，所有数据库表中的特定字段

--udf-inject,--shared-lib：可以通过编译MySQL注入自定义的函数（UDFs），或PostgreSQL在windows中共享库，DLL，或者Linux/Unix中共享对象，sqlmap将会问你一些问题，上传到服务器数据库自定义函数，然后根据你的选择执行他们，当你注入完成后，sqlmap将会移除它们。

--os-cmd,--os-shell：

当数据库为MySQL，PostgreSQL或Microsoft SQL Server，并且当前用户有权限使用特定的函数。

在MySQL、PostgreSQL，sqlmap上传一个二进制库，包含用户自定义的函数，sys_exec()和sys_eval()。

那么他创建的这两个函数可以执行系统命令。在Microsoft SQL Server，sqlmap将会使用xp_cmdshell存储过程，如果被禁（在Microsoft SQL Server 2005及以上版本默认禁制），sqlmap会重新启用它，如果不存在，会自动创建。

用--os-shell参数也可以模拟一个真实的shell，可以输入你想执行的命令。

--batch：非交互模式，不需要用户输入，将会默认值一直运行下去

--crawl：爬行网站URL，sqlmap可以收集潜在的可能存在漏洞的连接，后面跟的参数是爬行的深度。

--check-waf：启发式检测WAF/IPS/IDS保护，WAF/IPS/IDS保护可能会对sqlmap造成很大的困扰，如果怀疑目标有此防护的话，可以使用此参数来测试。 sqlmap将会使用一个不存在的参数来注入测试

--identify-waf：sqlmap可以尝试找出WAF/IPS/IDS保护，方便用户做出绕过方式。目前大约支持30种产品的识别。