- Python 语言编写的开源SQL注入检测、利用工具
- 丰富的特性、参数众多、强大的检测引擎
- 指纹发现、脱裤、OS控制、RCE
- 顺便发现XSS漏洞
- 必备
- 参数、HTTP头均可注入
SQL注入
- 与编程语言、数据库无关
- 问题在程序代码
检测漏洞
- ’
- 1 and 1=# 1 and 1=2# 1’ or 1=1# 1’ or 1=2#
- select [pass] from [table] where id = ‘1’
- select [pass] from table where id= ‘1’ and 11–+
- select [pass] from [table] where id = ‘1’;[ANOTHER SQL QUERY]#
- 手工利用门槛较高 -> Sqlmap