sqlmap是什么工具

sqlmap 是一个开源的 SQL 注入自动化检测与利用工具。它用 Python 写成，什工命令行界面，什工黑底白字，什工跑起来满屏滚动的什工日志。第一次用它是什工在一台老旧的 Kali 虚拟机上，输入 sqlmap -u "http://testphp.vulnweb.com/artists.php?什工artist=1"，回车之后它开始自问自答：判断数据库类型、什工试探注入点、什工猜表名、什工拉数据。什工整个过程像有个不知疲倦的什工助手在替你手动敲 payload，而且敲得比你快一万倍。什工

这东西最早是什工 2006 年由一个意大利人 Bernardo Damele 搞出来的，后来 Daniele Bellucci 也加入维护。什工到现在快二十年了，依然活跃在 GitHub 上，star 数超过三万。一个安全工具能活这么久，靠的不是花哨的界面，而是它真的能干活。你给它一个 URL，它能把背后那套 MySQL、PostgreSQL、Oracle、SQL Server 甚至 SQLite 摸个七七八八。支持的类型多到有点离谱，布尔盲注、时间盲注、报错注入、堆叠查询、联合查询，基本你能想到的注入方式它都内置了。

它到底怎么用

最基础的用法就是指定一个带参数的 URL。比如 sqlmap -u "http://example.com/news.php?id=1"。它会先判断这个参数是不是可注入的。如果是，它会问你要不要继续探测数据库名、表名、列名，最后把数据 dump 出来。整个过程交互式的，按回车就行。老手一般直接加 --batch 让它自己跑，不废话。想直接拿 shell 的话，--os-shell 或者 --os-pwn 也能上，前提是数据库权限够大、文件读写没被限制。

我见过有人拿它去测自己公司的登录接口，参数是 username 和 password。跑完之后发现 username 存在时间盲注，但 password 被过滤得比较死。sqlmap 给出的 payload 里用了 AND SLEEP(5)，响应时间确实多了五秒。这种确认方式比看报错信息靠谱，因为很多生产环境把错误信息关了，但时间延迟骗不了人。

它不是万能钥匙

别把它当神。WAF 稍微严一点，sqlmap 的默认请求头就容易被封。得加 --random-agent、--delay、--proxy 这些参数慢慢磨。有时候还得手动改 tamper 脚本，把 SELECT 换成 SELSELECTECT 之类的绕过关键词过滤。我试过一个站，sqlmap 跑了半小时没结果，换手工构造 payload 反而两分钟就出了数据。工具是死的，人是活的。

另外，它只负责 SQL 注入这一件事。XSS、CSRF、文件上传漏洞，它一概不管。别指望一个工具通吃所有 Web 漏洞。有些教程把 sqlmap 吹得天花乱坠，好像输入一个网址就能黑掉整个网站。实际用起来，目标站稍微有点防护，或者参数不是直接拼接到 SQL 里，它就没辙了。比如用了预编译语句的接口，sqlmap 跑半天只会告诉你“参数不可注入”。

法律和道德那条线

sqlmap 本身不违法。它就是个工具，跟菜刀一样。但你拿它去扫别人的站，没授权，那就是另一回事了。国内《网络安全法》第二十七条写得清楚，不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。我认识一个搞渗透测试的朋友，每次客户授权书没到手，他连 sqlmap -u 都不敲。这是规矩。

自己搭靶场练手最稳妥。DVWA、sqli-labs、bWAPP 这些开源项目就是干这个的。装个 Docker，几分钟就能跑起来。在靶场里把 sqlmap 的各种参数试一遍，比看十篇教程都管用。我当初就是在 sqli-labs 的 Less-1 上反复跑 --technique=BEUSTQ，看它怎么根据回显不同切换注入方式，才慢慢理解盲注和联合查询的区别。

说到底，sqlmap 是个效率工具。它把重复的、机械的注入探测过程自动化了。但判断哪里可能有注入点、怎么绕过防护、拿到数据之后怎么分析，这些还是得靠人。别把它当黑魔法，它就是个写得比较扎实的 Python 脚本集合。你愿意读它的源码，会发现里面很多逻辑并不复杂，只是考虑得足够细。