sqlmap工具

sqlmap 最让人记住的工具一点，是工具它能把一个看起来只是“参数没过滤好”的漏洞，直接推到数据库层面。工具很多年前我在一个测试环境里见过它跑出完整库表结构，工具当时命令行里刷出 `information_schema` 的工具瞬间，确实比看扫描器弹窗更有冲击力。工具它不是工具那种点一下按钮就完事的图形化工具，而是工具一把需要你懂点 SQL、懂点 HTTP 的工具手工钻头。

这工具用 Python 写成，工具核心思路很直接：把用户提供的工具 URL 或请求文件里的参数，替换成一批又一批精心构造的工具 payload，然后观察页面返回、工具响应时间、工具HTTP 状态码的工具变化，判断注入点是否存在。布尔盲注看真假页面差异，时间盲注看 `SLEEP()` 有没有拖慢响应，报错注入看数据库报错信息回显。联合查询、堆叠查询这些也支持，但具体能不能用，得看目标数据库类型和权限。

实际用起来，最省事的入口是 -u 参数。比如 sqlmap -u "http://example.com/news.php?id=1"，它会先探测注入类型，再问你要不要继续。如果参数藏在 POST 体里，或者需要 Cookie、Referer 才能正常访问，那就把整个请求保存成文本，用 -r request.txt 加载。我习惯加 --batch 让它在交互环节自动选默认项，不然一路回车按到手酸。

它的能力边界也值得说清楚。不是所有注入点都能拖库。目标站如果用了 WAF，payload 可能被拦；数据库账户权限低，可能读不到文件也执行不了命令；网络延迟大，时间盲注会慢到让人怀疑人生。有次我对着一个 MySQL 站跑 --dbs，半小时才出两个库名，后来发现是响应时间阈值设得太保守。调了 --time-sec 和 --threads 才快起来。这些参数不是装饰，是真会影响结果。

拿到注入点之后，常用动作就那几类。列数据库用 --dbs，列表用 -D dbname --tables，列字段用 -D dbname -T tablename --columns，导出数据用 --dump。如果只想看某几列，可以加 -C col1,col2。文件读取用 --file-read，命令执行用 --os-shell，但这俩依赖数据库权限和配置，不是每个站都能成。我见过一个站能跑 --current-user 但跑不了 --os-shell，因为 MySQL 的 secure_file_priv 限制了文件操作。

还有一点容易被忽略：sqlmap 的请求头伪装。默认 User-Agent 就是 sqlmap 自己的标识，有些站会直接封。加 --random-agent 或者手动指定 --user-agent 能绕过一部分。代理支持也全，--proxy 走 HTTP 代理，--tor 走 Tor 网络，--check-tor 还能验证 Tor 是否生效。这些在授权测试里是常规操作，但别拿去乱扫。

我自己的判断是，sqlmap 适合验证漏洞和评估影响，不适合当批量扫描器。它跑得不算快，对目标也有一定压力。真要做大规模资产排查，得配合其他工具先筛出可疑点，再拿它精确定位。另外，它的输出日志默认放在 ~/.sqlmap/output/ 下，按目标域名分目录，里面会记录 payload 和结果，回头查现场很方便。用之前最好确认你有授权，这东西的 --os-shell 不是闹着玩的。