sqlmap偵測目標時,常見設定包括以下:
- 檢測行為
- 檢測深度
- 輸出內容
- 檢測條件
- 輔助選項
檢測行為
自動化
–batch 不詢問使用者要做什麼動作,直接用預設值自動跑完
速度
–threads 指定要用幾條線程做測試,越高速度越快,但一些防禦設設會把速度太快的列入黑名單
–delay 指定每次要暫時多久才會執行下一個測試
檢測深度
檢測等級
預設情況下SQLMAP只支援GET/POST參數的注入測試,但是使用–level 參數且數值>=2的時候也會檢查cookie裡面的參數,當>=3的時候將檢查User-agent和Referer。可以透過burpsuite等工具取得當前的cookie值,然後進行注入:
參數 –level
level 定義了注入的等級,等級越高使用的payload越多
- 1:預設是1(<100 requests)
- 2:大於等於2的時候也會測試HTTP Cookie頭的值(100-200 requests)
- 3: 大於等於3的時候也會測試User-Agent和HTTP Referer頭的值(200-500 requests)
- 4: (500-1000 requests)
- 5: (>1000 requests)
在boundaries.xml內有明確定不同level使用不同攻撃payload,內容如下
<boundary>
<level>3</level>
<clause>1</clause>
<where>1,2</where>
<ptype>1</ptype>
<prefix>)</prefix>
<suffix>[GENERIC_SQL_COMMENT]</suffix>
</boundary>
各參數說明
- ptype 指 payload的類型
- prefix payload前要拼接哪些字符
- suffix: payload之後拼接那些字符
- clause 指示了使用的查詢語句的類型,可以同時寫多個,用逗號隔開。
風險等級
參數 –risk 檢測強度,建議使用3以上,越高拆解的速度越慢
此參數用於指定風險等級,有 1~4 共 4 級。預設風險等級為 1,此等級在大多數情況下對測試目標無害。
等級2新增了基於時間的注入測試
等級3新增了OR測試。但如果注入點是在UPDATE語句中,使用OR測試可能會修改整個表的數據
refer
https://www.anquanke.com/post/id/188173
輸出內容
輸出等級
輸出的訊息總共分了七個等級,這七個等級在檢測試時會在介面裡回傳不同的內容。預設是等級1
參數: -v
- 0:只顯示 Python 的 tracebacks 訊息、錯誤訊息 [ERROR] 和關鍵訊息 [CRITICAL];
- 1:同時顯示普通資訊 [INFO] 和警告訊息 [WARNING];
- 2:同時顯示調試資訊 [DEBUG];
- 3:同時顯示注入所使用的攻擊荷載;
- 4:同時顯示 HTTP 請求;
- 5:同時顯示 HTTP 回應頭;
- 6:同時顯示 HTTP 回應體。
估計完成時間
參數: –eta
輸出結果大致如下
[hh:mm:01] [INFO] the back-end DBMS is Oracle
[hh:mm:01] [INFO] fetching banner
[hh:mm:01] [INFO] retrieving the length of query output
[hh:mm:01] [INFO] retrieved: 64
17% [========> ] 11/64
Then:
100% [===================================================] 64/64
[hh:mm:53] [INFO] retrieved: Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod
web application technology: PHP 5.2.6, Apache 2.2.9
back-end DBMS: Oracle
banner:
'Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod'
輸出到日志
將請求和回應以文字格式記錄到檔案中作為日誌,在調試時很有幫助
參數: -t < logfile path >
refer
http://www.91ri.org/6775.html
https://www.freebuf.com/sectool/164608.html
檢測條件
指定數據庫
參數 –dbms “<MySQL|Oracle|PostgreSQL|Microsoft SQL Server|…>”
範例
python sqlmap.py -u "http://192.168.1.1/sqlmap/pgsql/get_int.php?id=1" --dbms "PostgreSQL"
指定作業系統
參數 –os “<Linux|Windows>”
範例
sqlmap -u "http://192.168.1.1/sqlmap/pgsql/get_int.php?id=1" --os "Windows"
指定檢測類型
參數 –technique
B: Boolean-based blind SQL injection(布林型注入)
E: Error-based SQL injection(報錯型注入)
U: UNION query SQL injection(可聯合查詢注入)
S: Stacked queries SQL injection(可多語句查詢注入)
T: Time-based blind SQL injection(基於時間延遲注入)
Q: inline_query SQL injection(內聯注入)
範例:指定使用報錯型注入和可多語句查詢注入
sqlmap --technique ES
輔助選項
HTTP User-Agent
預設情況下sqlmap的HTTP請求頭中User-Agent值是:sqlmap/1.0-dev-xxxxxxx (http://sqlmap.org)
參數:–user-agent,–random-agent
可以使用–user-agent參數來修改,同時也可以使用–random-agent參數來隨機的從./txt/user-agents.txt中取得。
ps:
當–level參數設定為3或3以上的時候,會嘗試對User-Agent進行注入。
refer
http://www.91ri.org/6775.html
二階SQL注入
有些時候注入點輸入的資料看回傳結果的時候並不是目前的頁面,而是另外的一個頁面,這時候就需要你指定到哪個頁面取得回應判斷真假。
參數:–second-order
用法舉例如下
python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3
sqlmap -r 1.txt -dbms MySQL -second-order "http://<IP/domain>/joomla/administrator/index.php" -D "joomla" -dbs
refer
https://xz.aliyun.com/t/3010
頁面對比
預設情況下在布林型注入中Sqlmap透過比較傳回頁面內容來判斷True或False。但有時頁面每次重新整理都會不同。例如,頁面當中包含一個動態的廣告或其他內容,這會導致sqlmap的誤判。此時使用者可以提供一個字串或一段正規匹配。
參數:–string、–not-string、–regexp
用法如下:
方法1,找一個在原始頁面與真條件下的頁面都存在的字串,而錯誤頁面中不存在的字串,使用–string參數添加字串,或–regexp添加正規則
方法2, 找一段只在錯誤頁面中存在的字串,然後使用 –not-string加該字串
refer
https://xz.aliyun.com/t/3010
https://www.itread01.com/content/1550368654.html
sqlmap偵測流程
在sqlmap偵測sql注入點的過程中,會有一系列前置發包,這些前置發包主要包括
- 網站連通性檢測
- WAF探測
- 網頁穩定偵測
- 參數動態性偵測
- 啟發式註入偵測
- 誤報偵測
refer
https://paper.seebug.org/729/. sqlmap運作流程
https://www.jishuwen.com/d/2egl/zh-tw SQLMAP在進行sql注入時的整個流程
深入了解SQLMAP API
https://cloud.tencent.com/developer/article/1451915
https://zhuanlan.zhihu.com/p/56005857
https://zhuanlan.zhihu.com/p/43242220 sqlmap 内核分析 I: 基础流程
https://zhuanlan.zhihu.com/p/44157153 sqlmap 内核分析 II: 核心原理-页面相似度算法实践
https://zhuanlan.zhihu.com/p/45291193 sqlmap 内核分析 III: 核心逻辑