Ywc

Sqlmap 使用总结

Word count: 4k / Reading time: 15 min
2018/07/05 Share

sqlmap

0x01 基本知识

一、当给sqlmap这么一个url的时候,它会:

  • 1、判断可注入的参数

  • 2、判断可以用那种SQL注入技术来注入

  • 3、识别出哪种数据库

  • 4、根据用户选择,读取哪些数据

二、sqlmap支持五种不同的注入模式:

  • 1、基于布尔的盲注,即可以根据返回页面判断条件真假的注入。

  • 2、基于时间的盲注,即不能根据页面返回内容判断任何信息,用条件语句查看时间延迟语句是否执行(即页面返回时间是否增加)来判断。

  • 3、基于报错注入,即页面会返回错误信息,或者把注入的语句的结果直接返回在页面中。

  • 4、联合查询注入,可以使用union的情况下的注入。

  • 5、堆查询注入,可以同时执行多条语句的执行时的注入。

sqlmap支持的数据库有:

MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase和SAP MaxDB

0x02 选项

–version 显示程序的版本号并退出
-h, –help 显示此帮助消息并退出
-v VERBOSE 详细级别:0-6(默认为1)

Target(目标):
以下至少需要设置其中一个选项,设置目标 URL。

1
2
3
4
5
6
-d DIRECT 直接连接到数据库。
-u URL, –url=URL 目标 URL。
-l LIST 从 Burp 或 WebScarab 代理的日志中解析目标。
-r REQUESTFILE 从一个文件中载入 HTTP 请求。
-g GOOGLEDORK 处理 Google dork 的结果作为目标 URL。
-c CONFIGFILE 从 INI 配置文件中加载选项。

Request(请求):
这些选项可以用来指定如何连接到目标URL。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
–data=DATA 通过 POST 发送的数据字符串
–cookie=COOKIE HTTP Cookie 头
–cookie-urlencode URL 编码生成的 cookie 注入
–drop-set-cookie 忽略响应的 Set –Cookie 头信息
–user-agent=AGENT 指定 HTTP User –Agent 头
–random-agent 使用随机选定的 HTTP User-Agent 头
–referer=REFERER 指定 HTTP Referer 头
–headers=HEADERS 换行分开,加入其他的 HTTP 头
–auth-type=ATYPE HTTP 身份验证类型(基本,摘要或NTLM)(Basic, Digest or NTLM)
–auth-cred=ACRED HTTP 身份验证凭据(用户名:密码)
–auth-cert=ACERT HTTP 认证证书(key_file,cert_file)
–proxy=PROXY 使用 HTTP 代理连接到目标 URL
–proxy-cred=PCRED HTTP 代理身份验证凭据(用户名:密码)
–ignore-proxy 忽略系统默认的 HTTP 代理
–delay=DELAY 在每个 HTTP 请求之间的延迟时间,单位为秒
–timeout=TIMEOUT 等待连接超时的时间(默认为30 秒)
–retries=RETRIES 连接超时后重新连接的时间(默认3)
–scope=SCOPE 从所提供的代理日志中过滤器目标的正则表达式
–safe-url=SAFURL 在测试过程中经常访问的 url 地址
–safe-freq=SAFREQ 两次访问之间测试请求,给出安全的 URL

Optimization(优化):
这些选项可用于优化 sqlmap.py 的性能。

1
2
3
4
5
-o 开启所有优化开关
–predict-output 预测常见的查询输出
–keep-alive 使用持久的 HTTP(S) 连接
–null-connection 从没有实际的 HTTP 响应体中检索页面长度
–threads=THREADS 最大的 HTTP(S) 请求并发量(默认为1)

Injection(注入):
这些选项可以用来指定测试哪些参数,提供自定义的注入 payloads 和可选篡改脚本。

1
2
3
4
5
6
7
8
-p TESTPARAMETER 可测试的参数
–dbms=DBMS 强制后端的 DBMS 为此值
–os=OS 强制后端的 DBMS 操作系统为这个值
–prefix=PREFIX 注入 payload 字符串前缀
–suffix=SUFFIX 注入 payload 字符串后缀
–tamper=TAMPER 使用给定的脚本篡改注入数据
–tamper 通过编码绕过 WEB 防火墙(WAF)sqlmap.py 默认用 char()
–tamper 插件所在目录\sqlmap-dev\tamper
  1. apostrophemask.py 用UTF-8全角字符替换单引号字符
  2. apostrophenullencode.py 用非法双字节unicode字符替换单引号字符
  3. appendnullbyte.py 在payload末尾添加空字符编码
  4. base64encode.py 对给定的payload全部字符使用Base64编码
  5. between.py 分别用“NOT BETWEEN 0 AND #”替换大于号“>”,“BETWEEN # AND #”替换等于号“=”
  6. bluecoat.py 在SQL语句之后用有效的随机空白符替换空格符,随后用“LIKE”替换等于号“=”
  7. chardoubleencode.py 对给定的payload全部字符使用双重URL编码(不处理已经编码的字符)
  8. charencode.py 对给定的payload全部字符使用URL编码(不处理已经编码的字符)
  9. charunicodeencode.py 对给定的payload的非编码字符使用Unicode URL编码(不处理已经编码的字符)
  10. concat2concatws.py 用“CONCAT_WS(MID(CHAR(0), 0, 0), A, B)”替换像“CONCAT(A, B)”的实例
  11. equaltolike.py 用“LIKE”运算符替换全部等于号“=”
  12. greatest.py 用“GREATEST”函数替换大于号“>”
  13. halfversionedmorekeywords.py 在每个关键字之前添加MySQL注释
  14. ifnull2ifisnull.py 用“IF(ISNULL(A), B, A)”替换像“IFNULL(A, B)”的实例
  15. lowercase.py 用小写值替换每个关键字字符
  16. modsecurityversioned.py 用注释包围完整的查询
  17. modsecurityzeroversioned.py 用当中带有数字零的注释包围完整的查询
  18. multiplespaces.py 在SQL关键字周围添加多个空格
  19. nonrecursivereplacement.py 用representations替换预定义SQL关键字,适用于过滤器
  20. overlongutf8.py 转换给定的payload当中的所有字符
  21. percentage.py 在每个字符之前添加一个百分号
  22. randomcase.py 随机转换每个关键字字符的大小写
  23. randomcomments.py 向SQL关键字中插入随机注释
  24. securesphere.py 添加经过特殊构造的字符串
  25. sp_password.py 向payload末尾添加“sp_password” for automatic obfuscation from DBMS logs
  26. space2comment.py 用“/**/”替换空格符
  27. space2dash.py 用破折号注释符“–”其次是一个随机字符串和一个换行符替换空格符
  28. space2hash.py 用磅注释符“#”其次是一个随机字符串和一个换行符替换空格符
  29. space2morehash.py 用磅注释符“#”其次是一个随机字符串和一个换行符替换空格符
  30. space2mssqlblank.py 用一组有效的备选字符集当中的随机空白符替换空格符
  31. space2mssqlhash.py 用磅注释符“#”其次是一个换行符替换空格符
  32. space2mysqlblank.py 用一组有效的备选字符集当中的随机空白符替换空格符
  33. space2mysqldash.py 用破折号注释符“–”其次是一个换行符替换空格符
  34. space2plus.py 用加号“+”替换空格符
  35. space2randomblank.py 用一组有效的备选字符集当中的随机空白符替换空格符
  36. unionalltounion.py 用“UNION SELECT”替换“UNION ALL SELECT”
  37. unmagicquotes.py 用一个多字节组合%bf%27和末尾通用注释一起替换空格符
  38. varnish.py 添加一个HTTP头“X-originating-IP”来绕过WAF
  39. versionedkeywords.py 用MySQL注释包围每个非函数关键字
  40. versionedmorekeywords.py 用MySQL注释包围每个关键字
  41. xforwardedfor.py 添加一个伪造的HTTP头“X-Forwarded-For”来绕过WAF

Detection(检测):
这些选项可以用来指定在 SQL 盲注时如何解析和比较 HTTP 响应页面的内容

1
2
3
4
5
–level=LEVEL 执行测试的等级(1-5,默认为 1)
–risk=RISK 执行测试的风险(0-3,默认为 1)
–string=STRING 查询有效时在页面匹配字符串
–regexp=REGEXP 查询有效时在页面匹配正则表达式
–text-only 仅基于文本内容比较网页

这些选项可用于调整具体的 SQL 注入测试

1
2
3
–technique=TECH SQL 注入技术测试(默认 BEUST)
Techniques(技巧):
–technique /*测试指定注入类型\使用的技术

不加参数默认测试所有注入技术:

1
2
3
4
5
B: 基于布尔的 SQL 盲注
E: 基于显错 sql 注入
U: 基于 UNION 注入
S: 叠层 sql 注入
T: 基于时间盲注
1
2
3
–time-sec=TIMESEC DBMS 响应的延迟时间(默认为 5 秒)
–union-cols=UCOLS 定列范围用于测试 UNION 查询注入
–union-char=UCHAR 用于暴力猜解列数的字符

Fingerprint(指纹):
-f, –fingerprint 执行检查广泛的 DBMS 版本指纹

Enumeration(枚举):
这些选项可以用来列举后端数据库管理系统的信息、表中的结构和数据。此外,您还可以运行您自己的 SQL 语句。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
-b, –banner 检索数据库管理系统的标识
–current-user 检索数据库管理系统当前用户
–current-db 检索数据库管理系统当前数据库
–is-dba 检测 DBMS 当前用户是否 DBA
–users 枚举数据库管理系统用户
–passwords 枚举数据库管理系统用户密码哈希
–privileges 枚举数据库管理系统用户的权限
–roles 枚举数据库管理系统用户的角色
–dbs 枚举数据库管理系统数据库
–tables 枚举 DBMS 数据库中的表
–columns 枚举 DBMS 数据库表列
–dump 转储数据库管理系统的数据库中的表项
–dump-all 转储所有的 DBMS 数据库表中的条目
–search 搜索列,表和/或数据库名称
-D DB 要进行枚举的数据库名
-T TBL 要进行枚举的数据库表
-C COL 要进行枚举的数据库列
-U USER 用来进行枚举的数据库用户
–exclude-sysdbs 枚举表时排除系统数据库
–start=LIMITSTART 第一个查询输出进入检索
–stop=LIMITSTOP 最后查询的输出进入检索
–first=FIRSTCHAR 第一个查询输出字的字符检索
–last=LASTCHAR 最后查询的输出字字符检索
–sql-query=QUERY 要执行的 SQL 语句
–sql-shell 提示交互式 SQL 的 shell

Brute force(蛮力):
这些选项可以被用来运行蛮力检查。

1
2
–common-tables 检查存在共同表
–common-columns 检查存在共同列

User-defined function injection(用户自定义函数注入):
这些选项可以用来创建用户自定义函数。

1
2
–udf-inject 注入用户自定义函数
–shared-lib=SHLIB 共享库的本地路径

File system access(访问文件系统):
这些选项可以被用来访问后端数据库管理系统的底层文件系统。

1
2
3
–file-read=RFILE 从后端的数据库管理系统文件系统读取文件
–file-write=WFILE 编辑后端的数据库管理系统文件系统上的本地文件
–file-dest=DFILE 后端的数据库管理系统写入文件的绝对路径

Operating system access(操作系统访问):
这些选项可以用于访问后端数据库管理系统的底层操作系统。

1
2
3
4
5
6
7
8
–os-cmd=OSCMD 执行操作系统命令
–os-shell 交互式的操作系统的 shell
–os-pwn 获取一个 OOB shell,meterpreter 或 VNC
–os-smbrelay 一键获取一个 OOB shell,meterpreter 或 VNC
–os-bof 存储过程缓冲区溢出利用
–priv-esc 数据库进程用户权限提升
–msf-path=MSFPATH Metasploit Framework 本地的安装路径
–tmp-path=TMPPATH 远程临时文件目录的绝对路径

Windows 注册表访问:
这些选项可以被用来访问后端数据库管理系统Windows 注册表。

1
2
3
4
5
6
7
–reg-read 读一个Windows 注册表项值
–reg-add 写一个Windows 注册表项值数据
–reg-del 删除Windows 注册表键值
–reg-key=REGKEY Windows 注册表键
–reg-value=REGVAL Windows 注册表项值
–reg-data=REGDATA Windows 注册表键值数据
–reg-type=REGTYPE Windows 注册表项值类型

General(一般):
这些选项可以用来设置一些一般的工作参数。

1
2
3
4
5
6
7
8
-t TRAFFICFILE 记录所有 HTTP 流量到一个文本文件中
-s SESSIONFILE 保存和恢复检索会话文件的所有数据
–flush-session 刷新当前目标的会话文件
–fresh-queries 忽略在会话文件中存储的查询结果
–eta 显示每个输出的预计到达时间
–update 更新 SqlMap
–save file 保存选项到 INI 配置文件
–batch 从不询问用户输入,使用所有默认配置。

Miscellaneous(杂项):

1
2
3
4
5
6
7
8
9
10
–beep 发现 SQL 注入时提醒
–check-payload IDS 对注入 payloads 的检测测试
–cleanup sqlmap.py 具体的 UDF 和表清理 DBMS
–forms 对目标 URL 的解析和测试形式
–gpage=GOOGLEPAGE 从指定的页码使用谷歌 dork 结果
–page-rank Google dork 结果显示网页排名(PR)
–parse-errors 从响应页面解析数据库管理系统的错误消息
–replicate 复制转储的数据到一个 sqlite3 数据库
–tor 使用默认的 Tor(Vidalia/ Privoxy/ Polipo)代理地址
–wizard 给初级用户的简单向导界面

制定测试的种类

–technique=TECH SQL注入技术测试(默认 BEUST)
Techniques(技巧):
–technique 测试指定注入类型使用的技术
不加参数默认测试所有注入技术:

1
2
3
4
5
B: 基于布尔的 SQL 盲注
E: 基于显错 sql 注入
U: 基于 UNION 注入
S: 叠层 sql 注入
T: 基于时间盲注

sqlmap 判断waf

sqlmap -u "http://www.test.com/" --identify-waf --batch

一般注入流程

以mysql为例

1.验证注入

1
sqlmap -u “注入点URL”

从中可以发现存在注入的类型,数据库类型和web应用程序PHP和Apache等版本信息。

2.列举数据库名

1
2
sqlmap -u "注入点" --dbs
sqlmap -u "注入点" --current-db #列举当前使用的数据库

3.查询某一数据库的所有表名

1
sqlmap -u "注入点" -D 数据库名 --tables

4.列举这一数据库的表的所有列(字段)

1
sqlmap -u "注入点" -D 数据库名 -T 表名 --columns

5.暴字段内容

1
sqlmap -u "注入点" -D 数据库名 -T 表名 -C "要爆的字段名" --dump

爆一个字段的话可能会很慢或者出错,全部暴出最好。

可以在后面加个 –batch 可以不用手动选择yes或no的选项。

sqlmap tamper 的使用

可以进行各种绕过防火墙和waf

1
--tamper xxx.py  (.py可以不加)

eg:python sqlmap.py -u “” – tamper base64encode.py
1.普通的tamper搭配方式:

1
2
3
4
tamper=apostrophemask,apostrophenullencode,base64encode,between,chardoubleencode,
charencode,charunicodeencode,equaltolike,greatest,ifnull2ifisnull,multiplespaces,
nonrecursivereplacement,percentage,randomcase,securesphere,space2comment,space2plus,
space2randomblank,unionalltounion,unmagicquotes

2.数据库为MSSQL的搭配方式:

1
2
3
4
tamper=between,charencode,charunicodeencode,equaltolike,greatest,multiplespaces,
nonrecursivereplacement,percentage,randomcase,securesphere,sp_password,space2comment,
space2dash,space2mssqlblank,space2mysqldash,space2plus,space2randomblank,unionalltounion,
unmagicquotes

3.数据库为Mysql的搭配方式:

1
2
3
4
5
tamper=between,bluecoat,charencode,charunicodeencode,concat2concatws,equaltolike,
greatest,halfversionedmorekeywords,ifnull2ifisnull,modsecurityversioned,modsecurityzeroversioned,
multiplespaces,nonrecursivereplacement,percentage,randomcase,securesphere,space2comment,space2hash,
space2morehash,space2mysqldash,space2plus,space2randomblank,unionalltounion,unmagicquotes,
versionedkeywords,versionedmorekeywords,xforwardedfor

4.常用脚本用法:

apostrophemask.py UTF-8编码
apostrophenullencode.py unicode编码
appendnullbyte.py 添加%00
base64encode.py base64编码
between.py 以”not between”替换”>“
bluecoat.py 以随机的空白字符替代空格,以”like”替代”=“
chardoubleencode.py 双重url编码
charencode.py url编码
charunicodeencode.py 对未进行url编码的字符进行unicode编码
equaltolike.py 以”like”替代”=“
halfversionedmorekeywords.py在每个关键字前添加条件注释
ifnull2ifisnull.py 以”IF(ISNULL(A), B, A)”替换”IFNULL(A, B)”
modsecurityversioned.py 条件注释
modsecurityzeroversioned.py 条件注释,0000
multiplespaces.py 添加多个空格
nonrecursivereplacement.py 可以绕过对关键字删除的防注入(这个我也不知道怎么说好,看例子。。。)
percentage.py 在每个字符前添加百分号(%)
randomcase.py 随即大小写
randomcomments.py 随机插入区块注释
sp_password.py 语句结尾添加”sp_password”迷惑数据库日志(很。。。)
space2comment.py 以区块注释替换空格
space2dash.py 以单行注释”–”和随机的新行替换空格
space2hash.py 以单行注释”#”和由随机字符组成的新行替换空格
space2morehash.py 没看出来和上面那个有什么区别。。
space2mssqlblank.py 以随机空白字符替换空格
space2mssqlhash.py 以单行注释”#”和新行替换空格
space2mysqlblank.py 以随机空白字符替换空格
space2mysqldash.py 以单行注释和新行替换空格
space2plus.py 以”+”替换空格
space2randomblank.py 随机空白字符替换空格
unionalltounion.py 以”union all”替换”union”
unmagicquotes.py 以”%bf%27”替换单引号,并在结尾添加注释”–”
versionedkeywords.py 对不是函数的关键字条件注释
versionedmorekeywords.py 对关键字条件注释

Reference

sqlmap使用总结
sqlmap使用大全

http://www.vuln.cn/1992
Sqlmap的命令介绍 中英文对照

原文作者: Ywc

原文链接: https://yinwc.github.io/2018/07/05/sqlmap/

发表日期: July 5th 2018, 1:20:40 pm

版权声明:

CATALOG
  1. 1. 0x01 基本知识
  2. 2. 0x02 选项
  3. 3. 一般注入流程
    1. 3.1. sqlmap tamper 的使用
  4. 4. Reference