sqlmap使用方法

sqlmap 这工具，使用第一次用的使用人多半会在终端里愣住——参数太多，不知道从哪敲起。使用其实日常渗透测试里，使用最常用的使用就那么几个组合。先记住一条：sqlmap -u "http://target.com/page.php?使用id=1"。这条命令跑下去，使用它会自动判断注入点是使用否存在、是使用什么类型的注入、后端数据库是使用什么。整个过程不用你操心，使用它会一步步吐信息出来。使用

但光这样跑效率不高。使用我习惯加上 --batch，使用让所有交互提示自动选默认值。使用不然它每问一次“是否继续测试其他参数”你都得按一次回车，测试几十个 URL 的时候手指会废掉。再配上 --level=3 --risk=2，检测范围会扩大，POST 参数、Cookie、User-Agent 头都会被纳入测试。默认 level 是 1，只测 GET 和 POST 的显式参数，很多真实环境里的注入点藏在 Cookie 里，不调高级别根本发现不了。

确认存在注入之后，下一步通常是拿数据。--dbs 列出所有数据库，--current-db 看当前库，--tables -D dbname 列出指定库的表。这套流程走下来很快，但有个坑：数据量大的时候终端刷屏刷得眼花。加个 --output-dir=/tmp/sqlmap，结果会同时存成文件，方便后续翻看。

拿字段内容用 --dump -D dbname -T tablename。如果只想看特定列，加 -C "username,password"。sqlmap 会自动识别密码哈希类型，MD5、SHA1 这些常见格式它会问你要不要跑字典破解。我一般选否，拿回去用 hashcat 跑更快。

遇到 WAF 是家常便饭。--tamper 参数就是干这个的，内置几十个脚本，比如 space2comment 把空格替换成注释，charencode 对字符做 URL 编码。实际用的时候往往要串联多个：--tamper=space2comment,charencode,between。但别指望 tamper 能绕过所有 WAF，有些云 WAF 靠流量特征识别，sqlmap 的默认请求头太明显了。改 --user-agent 和 --random-agent 能糊弄一部分，更狠的得上代理池 --proxy 或者直接挂 Burp 走。

有个细节很多人忽略：--technique 参数。默认是全类型都试，但实际环境里布尔盲注和报错注入最稳。如果目标响应慢，时间盲注会拖到你崩溃。指定 --technique=BE 只跑布尔和报错，速度能快好几倍。反过来，如果目标把报错信息全关了，那就只能上时间盲注 --technique=T，配合 --time-sec=3 调整延迟阈值。

文件读写是另一个高频需求。--file-read=/etc/passwd 读文件，--file-write=local.txt --file-dest=/var/www/shell.php 写文件。写文件的前提是数据库用户有 FILE 权限且 secure_file_priv 没限制。MySQL 5.7 之后这个变量默认是 NULL，写不了。碰到这种情况别硬刚，试试 --os-shell，它会尝试通过 INTO OUTFILE 或者 UDF 提权拿系统命令执行。成功率看运气，但值得一试。

跑大目标的时候记得加 --threads=10，默认是 1，慢得让人想砸键盘。但线程别开太高，有些老服务器扛不住并发直接 502。我一般设 5 到 10 之间，稳一点。

最后说个实际案例。之前测一个政府网站，GET 参数加了单引号直接报 500，但 sqlmap 跑半天说没注入。手动试了试发现是布尔盲注，true 和 false 页面返回内容长度差 200 字节左右。sqlmap 默认的页面相似度阈值太宽，没识别出来。加 --string="欢迎" 指定 true 条件下的特征字符串，立刻就检测到了。工具是死的，人是活的，别全信它的自动判断。