超级注入工具Sqlmap命令详解

gclome

原文链接：超级注入工具Sqlmap命令详解

Sqlmap 是一款开源软件，用于检测和利用数据库漏洞，

并提供注入恶意代码的选项。
它是一种渗透测试工具，可以自动检测和利用 SQL 注入缺
陷，并在终端中提供其用户界面。
该软件在命令行运行，可供下载用于不同的操作系统：
Linux，Windows 和 Mac OS 操作系统。
Sqlmap 支持检测 MySQL，Oracle，PostgreSQL，
Microsoft SQL Server，Microsoft Access，IBM DB2，SQLite，
Firebird 和 SAP MaxDB 等数据库的各种安全漏洞
采用五种独特的 SQL 注入技术，分别是：
1：基于布尔的盲注，即可以根据返回页面判断条件真假的注入。
2：基于时间的盲注，即不能根据页面返回内容判断任何信息，用条
件语句查看时间延迟语句是否执行（即页面返回时间是否增加）来判
断。
3：基于报错注入，即页面会返回错误信息，或者把注入的语句的结
果直接返回在页面中。
4：联合查询注入，可以使用 union 的情况下的注入。
5：堆查询注入，可以同时执行多条语句的执行时的注入。

sqlmap使用帮助

1.1 Options
-h, --help 显示基本帮助信息。该帮助信息相对比较少。
-hh 显示高级帮助信息。该帮助信息相对比较多。
--version 显示程序版本信息。
-v VERBOSE 详细级别（取值 0-6，默认是 1）。
1.2 Target:目标选项
至少需要使用下面的其中一个选项来设置目标。
-d DIRECT 指定直接数据库连接的连接字符串。直接连接到数
据库。
-u URL, --url=URL 指定 URL 目标 (如："http://www.xxxx.com/vuln.
php?id=1")
-l LOGFILE 从 Burp 或 WebScarab 代理的日志中解析目标
-x SITEMAPURL 从远程站点地图(.xml)文件解析目标
-m BULKFILE 扫描文本文件中给出的多个目标。批量扫描。
-r REQUESTFILE 从文件中加载 HTTP 请求
-g GOOGLEDORK 将 Google dork 的结果作为目标 URL
-c CONFIGFILE 从 INI 配置文件中加载选项
1.3 Request:请求选项
这些选项可以用来指定如何连接到目标 URL。
--method=METHOD 强制使用给定的 HTTP 方法 (如：PUT)
--data=DATA 通过 POST 方法发送数据字符串
--param-del=PARA.. 指定用于分割参数值的字符
--cookie=COOKIE HTTP Cookie 头
--cookie-del=COO.. 指定用于分割 Cookie 值的字符
--load-cookies=L.. 指定包含 Netscape/wget 格式的 Cookie 的文件
--drop-set-cookie 忽略响应中的 Set-Cookie 头
--user-agent=AGENT 指定 HTTP User-Agent 头
--random-agent 使用随机选定的 HTTP User-Agent 头
--host=HOST 指定 HTTP Host header
--referer=REFERER 指定 HTTP Referer header
-H HEADER, --hea.. 指定额外的 header (如："X-Forwarded-For: 12
7.0.0.1")
--headers=HEADERS 指定额外的 headers (如："Accept-Language:
fr\nETag: 123")
--auth-type=AUTH.. 指定 HTTP 身份验证类型(Basic, Digest, NTLM
or PKI)
--auth-cred=AUTH.. 指定 HTTP 身份验证凭据(name:password)
--auth-file=AUTH.. 指定 HTTP 身份验 PEM 证书。当 Web 服务器需要
客户端证书进行身份验证时，需要提供两个文件:key_file、cert_file。key_file
是格式为 PEM 文件，包含着你的私钥，cert_file 是格式为 PEM 的连接文件。
--ignore-code=IG.. 忽略 HTTP error 码(如：401)
--ignore-proxy 忽略系统默认代理配置
--ignore-redirects 忽略重定向的尝试
--ignore-timeouts 忽略连接超时
--proxy=PROXY 使用代理连接目标 URL
--proxy-cred=PRO.. 代理认证凭证 (name:password)
--proxy-file=PRO.. 从文件中加载代理列表
--tor 使用 Tor 匿名网络
--tor-port=TORPORT 设置 Tor 代理端口
--tor-type=TORTYPE 设置Tor代理类型(HTTP, SOCKS4 or SOCKS5
(default))
--check-tor 检查 Tor 的是否正确使用
--delay=DELAY 可以设定两个 HTTP(S)请求间的延迟
--timeout=TIMEOUT 可以设定一个 HTTP(S)请求超过多久判定为超时
(default 30)
--retries=RETRIES 设置连接超时后的重试次数(default 3)
--randomize=RPARAM 设定某一个参数值在每一次请求中随机的变化
--safe-url=SAFEURL URL address to visit frequently during testi
ng
--safe-post=SAFE.. POST 数据发送到安全的 URL
--safe-req=SAFER.. 从文件加载安全的 HTTP 请求
--safe-freq=SAFE.. Test requests between two visits to a given
safe URL
--skip-urlencode 跳过 URL 的有效载荷数据编码
--csrf-token=CSR.. 保存反 CSRF 令牌
--csrf-url=CSRFURL 访问提取 anti-CSRF 令牌
--force-ssl 强制使用 SSL/HTTPS
--hpp 使用 HTTP 参数污染的方法
--eval=EVALCODE 在请求之前评估提供的 Python 代码(如：
"import hashlib;id2=hashlib.md5(id).hexdigest
()")
1.3 Optimization:优化选项
这些参数用于优化 sqlmap 的性能。
-o 打开所有的优化开关
--predict-output 预测常见的查询输出
--keep-alive 使用 HTTP(s)长连接（persistent 是不是翻译成持久
更恰当？）
--null-connection 没有实际的 HTTP 响应时的检索页面长度
--threads=THREADS HTTP(s)最大并发请求数(默认是 1)
1.4 Injection:注入选项
这些选项可以用来指定对哪些参数测试，提供一般的注入方式和可选可修
改的脚本注入。
-p TESTPARAMETER 可测试的参数
--skip=SKIP 跳过指定的参数
--skip-static 跳过静态测试参数
--param-exclude=.. 使用正则表达式从测试中排除参数
--dbms=DBMS 强制指定后端的 DBMS
--dbms-cred=DBMS.. DBMS 身份认证凭证(user:password)
--os=OS 强制指定后端的 DBMS 操作系统
--invalid-bignum Use big numbers for invalidating values
--invalid-logical Use logical operations for invalidating values
--invalid-string Use random strings for invalidating values
--no-cast 关闭 payload 构造机制
--no-escape 关闭字符逃避机制
--prefix=PREFIX 注入有效载荷前缀字符
--suffix=SUFFIX 注入有效负载后缀字符串
--tamper=TAMPER 使用给定的脚本修改注入的数据
1.5 Detection:探测选项
这些选项可用于自定义检测阶段
--level=LEVEL 测试等级(1-5, default 1)
--risk=RISK 测试的风险等级(1-3, default 1)
--string=STRING 字符串匹配查询时被评估为 True
--not-string=NOT.. 字符串匹配查询时被评估为 False
--regexp=REGEXP 正则表达式匹配查询时被评估为 True
--code=CODE HTTP code to match when query is evalu
ated to True
--text-only 仅根据文本内容比较页面
--titles 仅根据其标题比较页面
1.6 Techniques
这些选项可用于调整具体的 SQL 注入测试.
--technique=TECH SQL 注入技术测试 (default "BEUSTQ")
--time-sec=TIMESEC DBMS 响应的延迟时间(default 5)
--union-cols=UCOLS 指定用于测试 UNION 查询注入的列范围
--union-char=UCHAR 暴力猜测列的字符数
--union-from=UFROM SQL 注入 UNION 查询使用的格式
--dns-domain=DNS.. DNS 泄露攻击使用的域名
--second-order=S.. URL 搜索产生的结果页面
Fingerprint:指纹
-f, --fingerprint 执行广泛的 DBMS 版本指纹检查
Enumeration:枚举
这些选项可以用来列举后端数据库管理系统的信息、表中的结构和数据。
此外，您还可以运行自定义的 SQL 语句。
-a, --all 获取所有信息
-b, --banner 获取 DBMS 标识
--current-user 获取 DBMS 当前用户
--current-db 获取 DBMS 当前数据库
--hostname 获取 DBMS 当前主机名
--is-dba 检测当前用户是否是 DBA
--users 枚举 DBMS 用户
--passwords 枚举 DBMS 用户密码 hash
--privileges 枚举 DBMS 用户权限
--roles 枚举 DBMS 用户角色
--dbs 枚举 DBMS 数据库
--tables 枚举 DBMS 数据库中的表
--columns 枚举 DBMS 数据库表的列
--schema 枚举 DBMS 架构
--count 检索表的项目数。如果只想获取表中的数据个数而
不是具体的内容可以使用这个参数，
--dump 转储 DBMS 数据库表
--dump-all 转储 DBMS 所有数据库表
--search 搜索列、表和（或）数据库名
--comments 获取 DBMS 注释
-D DB 指定要枚举的 DBMS 数据库名
-T TBL 指定要枚举的 DBMS 表
-C COL 指定要枚举的 DBMS 列
-X EXCLUDE 指定不要枚举的 DBMS 数据库
-U USER 指定要枚举的 DBMS 用户
--exclude-sysdbs 枚举表时排除 DBMS 系统数据库
--pivot-column=P.. 关键列的名称
--where=DUMPWHERE Use WHERE condition while table dum
ping
--start=LIMITSTART First dump table entry to retrieve
--stop=LIMITSTOP Last dump table entry to retrieve
--first=FIRSTCHAR 获取第一个查询输出字的字符
--last=LASTCHAR 获取最后查询的输出字字符
--sql-query=QUERY 要执行的 SQL 语句
--sql-shell 交互式 SQL shell
--sql-file=SQLFILE 从给定的文件执行 sql 语句
1.7 Brute force
这些选项可以被用来运行暴力检查
--common-tables 检查是否存在共同的表（与给定的表相对比）
--common-columns 检查是否存在共同的列（与给定的列相对比）
1.8 User-defined function injection:用户自定义函数注入
这些选项可以用来创建用户自定义函数。
--udf-inject 注入用户自定的函数
--shared-lib=SHLIB 共享库的本地路径
1.9 File system access:访问文件系统
这些选项可以被用来访问后端数据库管理系统的底层文件系统
--file-read=RFILE 从后端的 DBMS 文件系统读取文件
--file-write=WFILE 编辑后端 DBMS 文件系统中的文件
--file-dest=DFILE 后端 DBMS 写入文件的绝对路径
2.0 Operating system access:操作系统访问
这些选项可以用于访问后端数据库管理系统的底层操作系统
--os-cmd=OSCMD 执行操作系统命令
--os-shell 提示使用交互式操作系统 shell
--os-pwn 获取一个 OOB shell，meterpreter 或 VNC
--os-smbrelay 一键获取一个 OOBshell，meterpreter 或 VNC
--os-bof 存储过程缓冲区溢出利用
--priv-esc 数据库进程用户权限提升
--msf-path=MSFPATH MetasploitFramework 本地的安装路径
--tmp-path=TMPPATH 远程临时文件目录的绝对路径
2.1 Windows registry access:Windows 注册表访
问
这些选项可以被用来访问后端数据库管理系统 Windows 注册表。
--reg-read 读取一个 Windows 注册表项值
--reg-add 写入一个 Windows 注册表项值数据
--reg-del 删除 Windows 注册表键值
--reg-key=REGKEY Windows 注册表键
--reg-value=REGVAL Windows 注册表键值
--reg-data=REGDATA Windows 注册表键值数据
--reg-type=REGTYPE Windows 注册表项值类型
2.2 General:一般选项
这些选项可以用来设置一些一般的工作参数
-s SESSIONFILE 从保存的.sqlite 文件中恢复会话
-t TRAFFICFILE 记录所有 HTTP 流量到一个文本文件中
--batch 使用所有默认配置，从不询问用户输入
--binary-fields=.. Result fields having binary values (e.g. "digest"
)
--check-internet Check Internet connection before assessing t
he target
--crawl=CRAWLDEPTH 从目标 URL 爬取网站
--crawl-exclude=.. 从爬取页中排除正则表达式 (e.g. "logout")
--csv-del=CSVDEL CSV 输出中使用的分割字符 (default ",")
--charset=CHARSET 强制字符编码 (e.g. "0123456789abcdef")
--dump-format=DU.. 转储的数据格式(CSV (default), HTML or SQL
ITE)
--encoding=ENCOD.. 指定用于数据检索的字符编码(如：GBK)
--eta 显示每个输出的预计到达时间
--flush-session 刷新当前目标的会话文件
--forms 解析和测试目标 URL 表单
--fresh-queries 忽略存储在会话文件中的查询结果
--har=HARFILE 将所有 HTTP 流量记录到 HAR 文件中
--hex 使用 DBMS 十六进制功能进行数据检索
--output-dir=OUT.. 自定义输出目录路径
--parse-errors 解析并显示响应 DBMS 错误消息
--save=SAVECONFIG 将选项保存到 INI 配置文件
--scope=SCOPE 使用正则表达式从提供的代理日志中筛选目标
--test-filter=TE.. 选择测试的有效载荷和/或标题(e.g. ROW)
--test-skip=TEST.. 跳过试验载荷和/或标题(e.g. BENCHMARK)
--update 更新（升级）sqlmap
2.3 Miscellaneous:其他
-z MNEMONICS 使用短记忆法 (e.g. "flu,bat,ban,tec=EU")
--alert=ALERT 发现 SQL 注入时，运行主机操作系统命令
--answers=ANSWERS 设置问题答案（用于 sqlmap 提示输入的情形）
(e.g. "quit=N,follow=N")
--beep 发现 sql 注入时，发出蜂鸣声
--cleanup 清除 sqlmap 注入时在 DBMS 中产生的 udf 与表
--dependencies Check for missing (non-core) sqlmap depen
dencies
--disable-coloring 禁掉彩色输出。
--gpage=GOOGLEPAGE 使用 Google dork 结果进行注入测试
--identify-waf 进行 WAF/IPS/IDS 保护测试。
--mobile 设定一个手机的 User-Agent 来模仿手机登陆
--offline 使用离线模式(仅使用 session 数据)
--purge-output 从输出目录安全删除所有内容
--skip-waf 跳过 WAF/IPS/IDS 启发式检测保护
--smart 进行积极的启发式测试，快速判断为注入的报错点
进行注入
--sqlmap-shell 提示一个交互式的 sqlmap shell
--tmp-dir=TMPDIR 用于存储临时文件的本地目录
--web-root=WEBROOT Web 服务器文档根目录 (e.g. "/var/www")
--wizard 简单的向导界面。适用于新手。

sqlmap灵活多变

1、基于布尔的盲注，即可以根据返回页面判断条件真假的注入
2、基于时间的盲注，即不能根据页面返回内容判断任何信息，用条
件语句查看时间延迟语句是否执行（即页面返回时间是否增加）来判
断。
3、基于报错注入，即页面会返回错误信息，或者把注入的语句的结
果直接返回在页面中。
4、联合查询注入，可以使用 union 的情况下的注入。
5、堆查询注入，可以同时执行多条语句的执行时的注入。
此外，sqlmap 也支持多种数据库：
MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access,
IBM DB2, SQLite, Firebird, Sybase 和 SAP MaxDB.

sqlmap命令详细讲解

▪ –is-dba 当前用户权限（是否为 root 权限）
▪ –dbs 所有数据库
▪ –current-db 网站当前数据库
▪ –users 所有数据库用户
▪ –current-user 当前数据库用户
▪ –random-agent 构造随机 user-agent
▪ –passwords 数据库密码
▪ –proxy http://local:8080 –threads 10 (可以自定义线程加速) 代理
▪ –time-sec=TIMESEC DBMS 响应的延迟时间（默认为 5 秒）
Options（选项）：

▪ –version 显示程序的版本号并退出
▪ -h, –help 显示此帮助消息并退出
▪ -v VERBOSE 详细级别：0-6（默认为 1）
▪ 保存进度继续跑：
sqlmap -u “http://url/news?id=1“ –dbs-o “sqlmap.log” 保存进
度
sqlmap -u “http://url/news?id=1“ –dbs-o “sqlmap.log” –resume 恢
复已保存进度
Target（目标）：
以下至少需要设置其中一个选项，设置目标 URL。
▪ -d DIRECT 直接连接到数据库。
▪ -u URL, –url=URL 目标 URL。
▪ -l LIST 从 Burp 或 WebScarab 代理的日志中解析目标。
▪ -r REQUESTFILE 从一个文件中载入 HTTP 请求。
▪ -g GOOGLEDORK 处理 Google dork 的结果作为目标 URL。
▪ -c CONFIGFILE 从 INI 配置文件中加载选项。
Request（请求）：
这些选项可以用来指定如何连接到目标 URL。
▪ –data=DATA 通过 POST 发送的数据字符串
▪ –cookie=COOKIE HTTP Cookie 头
▪ –cookie-urlencode URL 编码生成的 cookie 注入
▪ –drop-set-cookie 忽略响应的 Set – Cookie 头信息
▪ –user-agent=AGENT 指定 HTTP User – Agent 头
▪ –random-agent 使用随机选定的 HTTP User – Agent 头
▪ –referer=REFERER 指定 HTTP Referer 头
▪ –headers=HEADERS 换行分开，加入其他的 HTTP 头
▪ –auth-type=ATYPE HTTP 身份验证类型（基本，摘要或 NTLM）(Basic,
Digest or NTLM)
▪ –auth-cred=ACRED HTTP 身份验证凭据（用户名:密码）
▪ –auth-cert=ACERT HTTP 认证证书（key_file，cert_file）
▪ –proxy=PROXY 使用 HTTP 代理连接到目标 URL
▪ –proxy-cred=PCRED HTTP 代理身份验证凭据（用户名：密码）
▪ –ignore-proxy 忽略系统默认的 HTTP 代理
▪ –delay=DELAY 在每个 HTTP 请求之间的延迟时间，单位为秒
▪ –timeout=TIMEOUT 等待连接超时的时间（默认为 30 秒）
▪ –retries=RETRIES 连接超时后重新连接的时间（默认 3）
▪ –scope=SCOPE 从所提供的代理日志中过滤器目标的正则表达式
▪ –safe-url=SAFURL 在测试过程中经常访问的 url 地址
▪ –safe-freq=SAFREQ 两次访问之间测试请求，给出安全的 URL

Enumeration（枚举）：

这些选项可以用来列举后端数据库管理系统的信息、表中的结构
和数据。此外，您还可以运行您自己的 SQL 语句。
▪ -b, –banner 检索数据库管理系统的标识
▪ –current-user 检索数据库管理系统当前用户
▪ –current-db 检索数据库管理系统当前数据库
▪ –is-dba 检测 DBMS 当前用户是否 DBA
▪ –users 枚举数据库管理系统用户
▪ –passwords 枚举数据库管理系统用户密码哈希
▪ –privileges 枚举数据库管理系统用户的权限
▪ –roles 枚举数据库管理系统用户的角色
▪ –dbs 枚举数据库管理系统数据库
▪ -D DBname 要进行枚举的指定数据库名
▪ -T TBLname 要进行枚举的指定数据库表（如：-T tablename –
columns）
▪ –tables 枚举的 DBMS 数据库中的表
▪ –columns 枚举 DBMS 数据库表列
▪ –dump 转储数据库管理系统的数据库中的表项
▪ –dump-all 转储所有的 DBMS 数据库表中的条目
▪ –search 搜索列（S），表（S）和/或数据库名称（S）
▪ -C COL 要进行枚举的数据库列
▪ -U USER 用来进行枚举的数据库用户
▪ –exclude-sysdbs 枚举表时排除系统数据库
▪ –start=LIMITSTART 第一个查询输出进入检索
▪ –stop=LIMITSTOP 最后查询的输出进入检索
▪ –first=FIRSTCHAR 第一个查询输出字的字符检索
▪ –last=LASTCHAR 最后查询的输出字字符检索
▪ –sql-query=QUERY 要执行的 SQL 语句
▪ –sql-shell 提示交互式 SQL 的 shell

Optimization（优化）：

这些选项可用于优化 SqlMap 的性能。
▪ -o 开启所有优化开关
▪ –predict-output 预测常见的查询输出
▪ –keep-alive 使用持久的 HTTP（S）连接
▪ –null-connection 从没有实际的 HTTP 响应体中检索页面长度
▪ –threads=THREADS 最大的 HTTP（S）请求并发量（默认为 1）

Injection（注入）：

这些选项可以用来指定测试哪些参数， 提供自定义的注入
payloads 和可选篡改脚本。
▪ -p TESTPARAMETER 可测试的参数（S）
▪ –dbms=DBMS 强制后端的 DBMS 为此值
▪ –os=OS 强制后端的 DBMS 操作系统为这个值
▪ –prefix=PREFIX 注入 payload 字符串前缀
▪ –suffix=SUFFIX 注入 payload 字符串后缀
▪ –tamper=TAMPER 使用给定的脚本（S）篡改注入数据

Detection（检测）：

这些选项可以用来指定在SQL盲注时如何解析和比较HTTP响应
页面的内容。
▪ –level=LEVEL 执行测试的等级（1-5，默认为 1）
▪ –risk=RISK 执行测试的风险（0-3，默认为 1）
▪ –string=STRING 查询时有效时在页面匹配字符串
▪ –regexp=REGEXP 查询时有效时在页面匹配正则表达式
▪ –text-only 仅基于在文本内容比较网页

Techniques（技巧）：

这些选项可用于调整具体的 SQL 注入测试。
▪ –technique=TECH SQL 注入技术测试（默认 BEUST）
▪ –time-sec=TIMESEC DBMS 响应的延迟时间（默认为 5 秒）
▪ –union-cols=UCOLS 定列范围用于测试 UNION 查询注入
▪ –union-char=UCHAR 用于暴力猜解列数的字符

Fingerprint（指纹）：

▪ -f, –fingerprint 执行检查广泛的 DBMS 版本指纹

使用命令比较多，这里就不一一讲解了，想深度了解请看 【sqlmap黑魔法】 这本书，该书讲比较透彻详细，还有各种命令做实战，包括每个系统安装sqlmap都将比较全面。
​
​
​
​
​
​
​
​