目录
SQLMap概述
SQLMap参数使用
输出详细程度参数 -v
目标参数
请求参数
注入参数
检测参数
技术参数
枚举参数
系统交互式shell
SQLMap概述
- SQLMap是一款开源的渗透测试工具，可用来进行自动化检测，利用SQL注入漏洞，获取数据库服务器 的权限等操作 SQLMap支持的数据库有：MySQL、Oracle、Microsoft SQL Server、Microsoft Access，IBM DB2、 SQLite等主流数据库 检测类型：union联合查询注入、布尔盲注、时间盲注、报错注入、堆叠注入
SQLMap参数使用
输出详细程度参数 -v
- -v参数用来指定输出数据的详细程度，一共有七个等级（0--6）
- 默认为1，可使用-vv代替-v 2
等级 | 说明 |
0 | 只输出Python出错回溯信息、错误和关键信息 |
1 | 增加输出普通信息和警告信息 |
2 | 增加输出调试信息 |
3 | 增加输出已注入的payloads |
4 | 增加输出HTTP请求 |
5 | 增加输出HTTP响应头 |
6 | 增加输出HTTP响应内容 |
目标参数
等级 | 说明 |
-d | 直连数据库 |
-u | URL，指定需要检测的目标URL |
-l | 从Burp代理日志文件中解析目标地址 |
-m | 从文本文件中批量获取目标 |
-r | 从文件中读取HTTP请求 |
--purge | 清除历史缓存 |
--flush-session | 清除上次扫描缓存 |
请求参数
- 指定连接目标的方式，有以下几种参数
参数 | 说明 |
--method=METHOD | 强制使用提供的HTTP方法，如：GET、POST、PUT等 |
--data=DATA | 使用POST方法发送数据，如：--data="id=1&user=admin" |
--cookie=COOKIE | 指定HTTP cookie |
--drop-set-cookie | 忽略HTTP响应中的Set-Cookie参数 |
--user-agent=AGENT | 指定HTTP User-Agent |
--random-agent | 使用随机的HTTP User Agent |
--referer=REFERER | 指定HTTP Referer |
-H HEADER | 设置额外的HTTP 头参数，如：-H "X-Forwarded-For:127.0.0.1" |
--headers=HEADERS | 设置额外的HTTP头参数，必须以换行符分隔 |
--delay=10 | 设置每个HTTP请求的延迟秒数 |
--safe-freq=SAFE | 每访问两次给定的合法URL才发送一次测试请求 |
--batch | 会自动选择默认项（Y） |
注入参数
- 用于指定要测试的参数
参数 | 说明 |
-p | 指定需要测试的参数 |
--skip=SKIP | 指定要跳过的参数 |
--dbms=DBMS | 指定DBMS类型，如：--dbms=MySQL |
--os=OS | 指定DBMS服务器的操作系统类型 |
--prefix=PREFIX | 注入payload的前缀字符串 |
--suffix=SUFFIX | 注入payload的后缀字符串 |
--tamper-TAMPER | 用给定脚本参数注入数据 |
检测参数
- 用于指定检测的等级以及风险参数
- --level：指定检测级别，共有五个等级，等级越高，检测范围越大（默认为1）
- level >= 2时会检测cookie是否有注入
- level >= 3时会检测User-Agent和Referer是否有注入
- level >= 5时会检测Host是否存在注入漏洞
- 不确定哪个payload或者参数为注入点的时候，为了保证全面性，建议使用高的level值
参数 | 说明 |
--level 1 | 检测GET和POST |
--level 2 | 增加检测HTTP Cookie |
--level 3 | 增加检测User-Agent和Referer |
--level 4 | 增加检测host |
--level 5 | 增加检测host |
--risk：风险程度，有三个等级（默认为1）
参数 | 说明 |
--risk 1 | 测试大部分的测试语句 |
--risk 2 | 增加基于事件性的测试语句 |
--risk 3 | 增加OR语句的sql注入测试 |
技术参数
- 以下参数用于调整特定的SQL注入技术的测试方法
参数 | 说明 |
--technique= | 后面跟使用的SQL注入技术 |
B | 布尔型盲注 |
T | 时间型盲注 |
U | 联合查询注入 |
S | 堆查询注入 |
E | 报错型注入 |
Q | 内联查询注入 |
--time-sec=TIMESEC | 设置延迟注入的时间，默认为5s |
--second-order= | 设置二阶响应的结果显示页面的URL，该选项用于二阶SQL注入 |
枚举参数
参数 | 说明 |
-a、--all | 获取所有信息、数据 |
-b、--banner | 获取banner，返回数据库的版本号 |
--current-user | 获取当前用户 |
--current-db | 获取当前数据库名 |
--hostname | 获取服务器的主机名 |
--is-dba | 探测当前用户是否为数据库管理员 |
--users | 枚举出所有用户 |
--passwords | 枚举出所有用户的密码哈希 |
--privileges | 枚举出所有用户特权级 |
--roles | 枚举出所有用户角色 |
--dbs | 枚举出所有数据库名 |
--tables | 枚举出数据库中的所有表名 |
--columns | 枚举出指定表中的所有列 |
--schema | 枚举出所有模式 |
--count | 获取数据表的数目 |
--dump | 导出数据表项 |
--stop 10 | 只取前10行数据 |
-D 数据库名 | 指定要枚举的数据库 |
-T 数据表名 | 指定要枚举的数据表 |
-C 字段名 | 指定要枚举的字段 |
--sql-query=QUERY | 指定要执行的SQL语句 |
--sql-shell | 调出交互式 SQL shell |
系统交互式shell
- 参数： --os-shell 使用该参数后，就可执行相应的系统命令
- 使用条件
- 攻击者需要知道网站的绝对路径（sqlmap中可爆破路径）
- 用户账号权限为管理员（网站必须是root权限或者为Administrator）
- GPC为off，php主动转义的功能关闭
- secure_file_priv为空
- 原理
- 通过into outfile 导出文件，利用SQL语句拿到shell权限
- --os-shell本质是利用into outfile函数将一个可以上传文件的网页（tmpulcjf.php）写入到网站根目录 下，然后利用tmpulcjf.php上传了一个tmpbtrnt.php文件，可以执行系统命令，连接密码为cmd
- 补充
- 导入导出的权限在MySQL数据库中是由secure_file_priv参数控制，当这个参数后面为null时，表示不允 许导入导出；如果为具体的文件夹时，表示只允许在这个文件夹下导入导出；如果secure_file_priv参数 后面没有值（为空）时，表示可以在任何文件夹下导入导出
- 当MySQL版本在5.7以上时，secure_file_priv参数的值默认为null，如果管理员没有修改过该参数，则无 法使用--os-shell
