一、SQL注入漏洞

概述

SQL注入漏洞是Web安全领域中一个常见且危害严重的安全问题。SQL注入攻击发生的原因是应用程序没有对用户输入的数据进行正确的验证和过滤，从而让恶意用户有机会在应用的查询中插入或“注入”SQL代码片段。SQL注入漏洞允许攻击者通过向Web表单输入或URL查询字符串、或其他数据库查询字符串中插入恶意SQL命令，欺骗后端数据库执行非授权的查询，进而可能导致数据泄露、数据损坏或更严重的后果。

原理

SQL注入漏洞的原理是利用应用程序对用户输入的不严格验证和过滤，通过提交恶意构造的SQL语句到数据库执行端，进而实现非法访问和操作数据。

当涉及到网络安全和数据库交互时，SQL注入是一个常见但极其危险的问题。这种类型的攻击能够发生，主要是因为应用程序在构建SQL语句时，直接将用户输入嵌入到查询中，而没有进行适当的清理或使用安全措施。

理解SQL注入的关键在于，黑客如何通过操纵提供给应用程序的输入来改变其后端SQL命令的结构和意图。

例如，一个简单的登录验证SQL命令可能如下：

SELECT * FROM users WHERE username = '[user_input]' AND password = '[pass_input]';

如果应用程序直接将用户提供的用户名和密码值插入到上述查询中，攻击者就可以通过在输入中添加额外的SQL代码片段来修改这个查询。一个常见的例子是在用户名输入框中输入：

' OR '1'='1

这将使得原本的SQL查询变成：

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '[pass_input]';

由于'1'='1'永远为真，这条语句会绕过原有的登录逻辑，从而无需正确的用户名和密码即可登录系统。

此外，攻击者还可以利用SQL注入来进行更为复杂的攻击，如数据泄露、权限提升、数据篡改等。通过执行特定的SQL命令，攻击者可以提取敏感数据、删除或修改数据库中的记录，甚至在某些情况下完全控制数据库服务器。

SQL注入的危害

数据泄露：攻击者可以访问并获取敏感信息，如用户个人信息、支付细节等。

权限提升：攻击者可能通过执行恶意SQL语句获得更高权限，甚至完全控制数据库。

数据篡改：攻击者可以修改或删除重要数据，影响业务运行。

系统瘫痪：通过执行资源密集型操作，攻击者可能使数据库或整个应用程序崩溃。

二、sqlmap的使用

什么是 sqlmap？

sqlmap 是一款开源渗透测试工具，它能自动检测并利用 SQL 注入漏洞和接管数据库服务器。它具有强大的检测引擎、许多适用于最终渗透测试阶段的特色功能以及范围广泛的开关，涵盖了数据库指纹识别、从数据库获取数据、访问底层文件系统以及通过带内连接在操作系统。

sqlmap支持的数据库

MySQL：MySQL是广泛使用的开源关系型数据库管理系统，适用于各种规模的应用程序。
Oracle：Oracle数据库是一个功能强大的系统，广泛应用于大型企业级应用中，提供高度的数据完整性、安全性以及可扩展性。
PostgreSQL：这是一个开源的对象-关系型数据库系统，它提供了多版本并发控制，支持复杂的查询操作。
Microsoft SQL Server：这是微软开发的一个关系型数据库管理系统，广泛应用于企业环境中，支持高容量的事务处理。
SQLite：这是一个轻量级的数据库，它不需要单独的服务器进程，常用于嵌入式系统中。
Access：这是微软提供的一个文件型数据库管理系统，适合于小型应用或快速原型开发。
IBM DB2：这是IBM开发的一个高端数据仓库和大规模并行处理系统。
Firebird：这是一个开源的关系型数据库管理系统，以能够运行在多种操作系统上而著称。
Sybase：这也是一个企业级的关系型数据库管理系统，提供高性能和高可靠性。
SAP MaxDB：这是一个企业级数据库系统，由SAP公司开发，支持大数据量和高事务处理能力

sqlmap 可检测的SQL 注入类型

布尔型盲注：sqlmap 会替换或添加 SQL 语句到 HTTP 请求的查询参数里面，相关的 SQL 语句可能是合法的 SELECT 子查询，也可以是任意用于获取输出数据的 SQL 语句。针对每个注入检测的 HTTP 响应，sqlmap 通过对比原始请求响应的 headers/body，从而逐个字符地推导出注入语句的输出。或者，用户可以预先提供一个字符串或正则表达式，用于对正确页面结果进行匹配。

时间型盲注：sqlmap 会替换或者添加相关的 SQL 语句到 HTTP 请求的查询参数里面，相关的 SQL 语句可能是合法的、用于使后端 DBMS延迟几秒响应的查询。

报错型注入：sqlmap 会替换或者添加用于引发特定数据库错误的 SQL 语句到查询参数里面，并通过解析对应的注入结果，判断特定的数据库错误信息是否存在响应的 headers/body 中。这项技术只有在 Web 应用配置开启后端 DBMS 错误信息提醒才有效。

联合查询注入：sqlmap 会在查询参数中添加以 UNION ALL SELECT 开头的合法 SQL 语句。

堆叠查询注入：sqlmap 会测试 Web 应用是否支持堆叠查询，如果支持，则在 HTTP 请求的查询参数中添加一个分号（;），并在后面加上注入的 SQL 语句。

sqlmap下载安装方法

官网下载地址：https://github.com/sqlmapproject/sqlmap

推荐直接从 Git 仓库获取最新的源代码：

git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git sqlmap-dev

sqlmap 是一款开源的渗透测试工具，可以自动化进行SQL注入的检测、利用，并能接管数据库服务器。它具有功能强大的检测引擎,为渗透测试人员提供了许多专业的功能并且可以进行组合，其中包括数据库指纹识别、数据读取和访问底层文件系统，甚至可以通过带外数据连接的方式执行系统命令。

使用方法：python sqlmap.py -参数，sqlmap可以运行在python2.6、2.7和3.x的任何平台上。

官方使用指南：https://github.com/sqlmapproject/sqlmap/wiki/Usage

用法：

python sqlmap.py [选项]

选项：

  -h, --help            显示基本帮助信息并退出
  -hh                   显示高级帮助信息并退出
  --version             显示程序版本信息并退出
  -v VERBOSE            输出信息详细程度级别：0-6（默认为 1）

目标：

至少提供一个以下选项以制定目标

  -u URL, --url=URL   目标 URL（例如："http://www.site.com/vuln.php?id=1"）
  -d DIRECT           可直接连接数据库的地址字符串
   -l LOGFILE          从 Burp 或 WebScarab 代理的日志文件中解析目标地址
   -m BULKFILE         从文本文件中获取批量目标
   -r REQUESTFILE      从文件中读取 HTTP 请求
   -g GOOGLEDORK       使用 Google dork 结果作为目标   
   -c CONFIGFILE       从 INI 配置文件中加载选项

请求：

以下选项可以指定连接目标地址的方式

    -A AGENT, --user..  设置 HTTP User-Agent 头部值
    -H HEADER, --hea..  设置额外的 HTTP 头参数（例如："X-Forwarded-For: 127.0.0.1"）
    --method=METHOD     强制使用提供的 HTTP 方法（例如：PUT）
    --data=DATA         使用 POST 发送数据串（例如："id=1"）
    --param-del=PARA..  设置参数值分隔符（例如：&）
    --cookie=COOKIE     指定 HTTP Cookie（例如："PHPSESSID=a8d127e.."）
    --cookie-del=COO..  设置 cookie 分隔符（例如：;）
    --live-cookies=L..  指定 Live cookies 文件以便加载最新的 Cookies 值
    --load-cookies=L..  指定以 Netscape/wget 格式存放 cookies 的文件
    --drop-set-cookie   忽略 HTTP 响应中的 Set-Cookie 参数
    --mobile            使用 HTTP User-Agent 模仿智能手机
    --random-agent      使用随机的 HTTP User-Agent
    --host=HOST         指定 HTTP Host
    --referer=REFERER   指定 HTTP Referer
    --headers=HEADERS   设置额外的 HTTP 头参数（例如："Accept-Language: fr\nETag: 123"）
    --auth-type=AUTH..  HTTP 认证方式（Basic，Digest，NTLM 或 PKI）
    --auth-cred=AUTH..  HTTP 认证凭证（username:password）
    --auth-file=AUTH..  HTTP 认证 PEM 证书/私钥文件
    --ignore-code=IG..  忽略（有问题的）HTTP 错误码（例如：401）
    --ignore-proxy      忽略系统默认代理设置
    --ignore-redirects  忽略重定向尝试
    --ignore-timeouts   忽略连接超时
    --proxy=PROXY       使用代理连接目标 URL
    --proxy-cred=PRO..  使用代理进行认证（username:password）
    --proxy-file=PRO..  从文件中加载代理列表
    --proxy-freq=PRO..  通过给定列表中的不同代理依次发出请求
    --tor               使用 Tor 匿名网络
    --tor-port=TORPORT  设置 Tor 代理端口代替默认端口
    --tor-type=TORTYPE  设置 Tor 代理方式（HTTP，SOCKS4 或 SOCKS5（默认））
    --check-tor         检查是否正确使用了 Tor
    --delay=DELAY       设置每个 HTTP 请求的延迟秒数
    --timeout=TIMEOUT   设置连接响应的有效秒数（默认为 30）
    --retries=RETRIES   连接超时时重试次数（默认为 3）
    --randomize=RPARAM  随机更改给定的参数值
    --safe-url=SAFEURL  测试过程中可频繁访问且合法的 URL 地址（译者注：
                        有些网站在你连续多次访问错误地址时会关闭会话连接，
                        后面的“请求”小节有详细说明）
    --safe-post=SAFE..  使用 POST 方法发送合法的数据
    --safe-req=SAFER..  从文件中加载合法的 HTTP 请求
    --safe-freq=SAFE..  在访问给定的合法 URL 之间穿插发送测试请求
    --skip-urlencode    不对 payload 数据进行 URL 编码
    --csrf-token=CSR..  设置网站用来反 CSRF 攻击的 token
    --csrf-url=CSRFURL  指定可提取防 CSRF 攻击 token 的 URL
    --csrf-method=CS..  指定访问防 CSRF token 页面时使用的 HTTP 方法
    --csrf-retries=C..  指定获取防 CSRF token 的重试次数 （默认为 0）
    --force-ssl         强制使用 SSL/HTTPS
    --chunked           使用 HTTP 分块传输编码（POST）请求
    --hpp               使用 HTTP 参数污染攻击
    --eval=EVALCODE     在发起请求前执行给定的 Python 代码（例如：
                        "import hashlib;id2=hashlib.md5(id).hexdigest()"）

优化：

以下选项用于优化sqlmap性能

    -o                  开启所有优化开关
    --predict-output    预测常用请求的输出
    --keep-alive        使用持久的 HTTP(S) 连接
    --null-connection   仅获取页面大小而非实际的 HTTP 响应
    --threads=THREADS   设置 HTTP(S) 请求并发数最大值（默认为 1）

注入：

以下选项用于指定要测试的参数,提供自定义注入payloads和篡改参数的脚本

    -p TESTPARAMETER    指定需要测试的参数
    --skip=SKIP         指定要跳过的参数
    --skip-static       指定跳过非动态参数
    --param-exclude=..  用正则表达式排除参数（例如："ses"）
    --param-filter=P..  通过位置过滤可测试参数（例如："POST"）
    --dbms=DBMS         指定后端 DBMS（Database Management System，
                        数据库管理系统）类型（例如：MySQL）
    --dbms-cred=DBMS..  DBMS 认证凭据（username:password）
    --os=OS             指定后端 DBMS 的操作系统类型
    --invalid-bignum    将无效值设置为大数
    --invalid-logical   对无效值使用逻辑运算
    --invalid-string    对无效值使用随机字符串
    --no-cast           关闭 payload 构造机制
    --no-escape         关闭字符串转义机制
    --prefix=PREFIX     注入 payload 的前缀字符串
    --suffix=SUFFIX     注入 payload 的后缀字符串
    --tamper=TAMPER     用给定脚本修改注入数据

暴力破解：

以下选项用于暴力测试破解

    --common-tables     检测常见的表名是否存在
    --common-columns    检测常用的列名是否存在
    --common-files      检测普通文件是否存在

枚举：

以下选项用于获取后端DBMS的信息，结构和数据表中的数据

-a, --all           获取所有信息、数据
    -b, --banner        获取 DBMS banner
    --current-user      获取 DBMS 当前用户
    --current-db        获取 DBMS 当前数据库
    --hostname          获取 DBMS 服务器的主机名
    --is-dba            探测 DBMS 当前用户是否为 DBA（数据库管理员）
    --users             枚举出 DBMS 所有用户
    --passwords         枚举出 DBMS 所有用户的密码哈希
    --privileges        枚举出 DBMS 所有用户特权级
    --roles             枚举出 DBMS 所有用户角色
    --dbs               枚举出 DBMS 所有数据库
    --tables            枚举出 DBMS 数据库中的所有表
    --columns           枚举出 DBMS 表中的所有列
    --schema            枚举出 DBMS 所有模式
    --count             获取数据表数目
    --dump              导出 DBMS 数据库表项
    --dump-all          导出所有 DBMS 数据库表项
    --search            搜索列，表和/或数据库名
    --comments          枚举数据时检查 DBMS 注释
    --statements        获取 DBMS 正在执行的 SQL 语句
    -D DB               指定要枚举的 DBMS 数据库
    -T TBL              指定要枚举的 DBMS 数据表
    -C COL              指定要枚举的 DBMS 数据列
    -X EXCLUDE          指定不枚举的 DBMS 标识符
    -U USER             指定枚举的 DBMS 用户
    --exclude-sysdbs    枚举所有数据表时，指定排除特定系统数据库
    --pivot-column=P..  指定主列
    --where=DUMPWHERE   在转储表时使用 WHERE 条件语句
    --start=LIMITSTART  指定要导出的数据表条目开始行数
    --stop=LIMITSTOP    指定要导出的数据表条目结束行数
    --first=FIRSTCHAR   指定获取返回查询结果的开始字符位
    --last=LASTCHAR     指定获取返回查询结果的结束字符位
    --sql-query=SQLQ..  指定要执行的 SQL 语句
    --sql-shell         调出交互式 SQL shell
    --sql-file=SQLFILE  执行文件中的 SQL 语句

检测：

以下选项用于自定义检测方法

    --level=LEVEL       设置测试等级（1-5，默认为 1）
    --risk=RISK         设置测试风险等级（1-3，默认为 1）
    --string=STRING     用于确定查询结果为真时的字符串
    --not-string=NOT..  用于确定查询结果为假时的字符串
    --regexp=REGEXP     用于确定查询结果为真时的正则表达式
    --code=CODE         用于确定查询结果为真时的 HTTP 状态码
    --smart             只在使用启发式检测时才进行彻底的测试
    --text-only         只根据页面文本内容对比页面
    --titles            只根据页面标题对比页面

访问文件系统：

以下选项用于访问后端 DBMS 的底层文件系统

    --file-read=FILE..  读取后端 DBMS 文件系统中的文件
    --file-write=FIL..  写入到后端 DBMS 文件系统中的文件
    --file-dest=FILE..  使用绝对路径写入到后端 DBMS 中的文件

访问操作系统：

以下选项用于访问后端 DBMS 的底层操作系统

    --os-cmd=OSCMD      执行操作系统命令
    --os-shell          调出交互式操作系统 shell
    --os-pwn            调出 OOB shell，Meterpreter 或 VNC
    --os-smbrelay       一键调出 OOB shell，Meterpreter 或 VNC
    --os-bof            利用存储过程的缓冲区溢出
    --priv-esc          数据库进程用户提权
    --msf-path=MSFPATH  Metasploit 框架的本地安装路径
    --tmp-path=TMPPATH  远程临时文件目录的绝对路径

访问 Windows 注册表：

以下选项用于访问后端 DBMS 的 Windows 注册表

    --reg-read          读取一个 Windows 注册表键值
    --reg-add           写入一个 Windows 注册表键值数据
    --reg-del           删除一个 Windows 注册表键值
    --reg-key=REGKEY    指定 Windows 注册表键
    --reg-value=REGVAL  指定 Windows 注册表键值
    --reg-data=REGDATA  指定 Windows 注册表键值数据
    --reg-type=REGTYPE  指定 Windows 注册表键值类型

通用选项：

以下选项用于设置通用的参数

    -s SESSIONFILE      从文件（.sqlite）中读入会话信息
    -t TRAFFICFILE      保存所有 HTTP 流量记录到指定文本文件
    --answers=ANSWERS   预设回答（例如："quit=N,follow=N"）
    --base64=BASE64P..  表明参数包含 Base64 编码的数据
    --base64-safe       使用 URL 与文件名安全的 Base64 字母表（RFC 4648）
    --batch             从不询问用户输入，使用默认配置
    --binary-fields=..  具有二进制值的结果字段（例如："digest"）
    --check-internet    在访问目标之前检查是否正常连接互联网
    --cleanup           清理 DBMS 中特定的 sqlmap UDF 与数据表
    --crawl=CRAWLDEPTH  从目标 URL 开始爬取网站
    --crawl-exclude=..  用正则表达式筛选爬取的页面（例如："logout"）
    --csv-del=CSVDEL    指定输出到 CVS 文件时使用的分隔符（默认为“,”）
    --charset=CHARSET   指定 SQL 盲注字符集（例如："0123456789abcdef"）
    --dump-format=DU..  导出数据的格式（CSV（默认），HTML 或 SQLITE）
    --encoding=ENCOD..  指定获取数据时使用的字符编码（例如：GBK）
    --eta               显示每个结果输出的预计到达时间
    --flush-session     清空当前目标的会话文件
    --forms             解析并测试目标 URL 的表单
    --fresh-queries     忽略存储在会话文件中的查询结果
    --gpage=GOOGLEPAGE  指定所用 Google dork 结果的页码
    --har=HARFILE       将所有 HTTP 流量记录到一个 HAR 文件中
    --hex               获取数据时使用 hex 转换
    --output-dir=OUT..  自定义输出目录路径
    --parse-errors      从响应中解析并显示 DBMS 错误信息
    --preprocess=PRE..  使用给定脚本做前处理（请求）
    --postprocess=PO..  使用给定脚本做后处理（响应）
    --repair            重新导出具有未知字符的数据（?）
    --save=SAVECONFIG   将选项设置保存到一个 INI 配置文件
    --scope=SCOPE       用正则表达式过滤目标
    --skip-heuristics   不对 SQLi/XSS 漏洞进行启发式检测
    --skip-waf          不对 WAF/IPS 进行启发式检测
    --table-prefix=T..  指定临时数据表名前（默认："sqlmap"）
    --test-filter=TE..  根据 payloads 和/或标题（例如：ROW）选择测试
    --test-skip=TEST..  根据 payloads 和/或标题（例如：BENCHMARK）跳过部分测试
    --web-root=WEBROOT  指定 Web 服务器根目录（例如："/var/www"）

杂项：

以下选项不属于前文的任何类别

    -z MNEMONICS        使用短助记符（例如：“flu,bat,ban,tec=EU”）
    --alert=ALERT       在找到 SQL 注入时运行 OS 命令
    --beep              在问题提示或在发现 SQL 注入/XSS/FI 时发出提示音
    --dependencies      检查 sqlmap 缺少（可选）的依赖
    --disable-coloring  关闭彩色控制台输出
    --offline           在离线模式下工作（仅使用会话数据）
    --purge             安全删除 sqlmap data 目录所有内容
    --results-file=R..  指定多目标模式下的 CSV 结果输出路径
    --shell             调出交互式 sqlmap shell
    --tmp-dir=TMPDIR    指定用于存储临时文件的本地目录
    --unstable          为不稳定连接调整选项
    --update            更新 sqlmap
    --wizard            适合初级用户的向导界面

【SQL注入】注入神器sqlmap的使用

一、SQL注入漏洞

概述

原理

SQL注入的危害

二、sqlmap的使用

什么是 sqlmap？

sqlmap支持的数据库

sqlmap 可检测的SQL 注入类型

sqlmap下载安装方法

用法：

选项：

目标：

请求：

优化：

注入：

暴力破解：

枚举：

检测：

访问文件系统：

访问操作系统：

访问 Windows 注册表：

通用选项：

杂项：

热门文章

最新文章

相关课程

相关电子书

相关实验场景

【SQL注入】 注入神器sqlmap的使用

一、SQL注入漏洞

概述

原理

SQL注入的危害

二、sqlmap的使用

什么是 sqlmap？

sqlmap支持的数据库

sqlmap 可检测的SQL 注入类型

sqlmap下载安装方法

用法：

选项：

目标：

请求：

优化：

注入：

暴力破解：

枚举：

检测：

访问文件系统：

访问操作系统：

访问 Windows 注册表：

通用选项：

杂项：

热门文章

最新文章

相关课程

相关电子书

相关实验场景

【SQL注入】注入神器sqlmap的使用