SQL注入之 SQLmap入门(SQL注入测试工具)
发布时间：2023-04-12 13:59:25 所属栏目：安全 来源：
导读：什么是SQLmap？
SQLmap是一款用来检测与利用SQL注入漏洞的免费开源工具，有一个非常棒的特性，即对检测与利用的自动化处理（数据库指纹、访问底层文件系统、执行命令）。
读者可以通过位于SourceForge的官方
SQLmap是一款用来检测与利用SQL注入漏洞的免费开源工具，有一个非常棒的特性，即对检测与利用的自动化处理（数据库指纹、访问底层文件系统、执行命令）。
读者可以通过位于SourceForge的官方
|
什么是SQLmap？ SQLmap是一款用来检测与利用SQL注入漏洞的免费开源工具，有一个非常棒的特性，即对检测与利用的自动化处理（数据库指纹、访问底层文件系统、执行命令）。 读者可以通过位于SourceForge的官方网站下载SQLmap源码：http://sourceforge.net/projects/sqlmap/ 为了方便大家使用错新站长站特提供一份无需安装python环境的sqlmap： 软件名称：sqlmap 一个自动SQL 射入工具(sqlmap.py)汉化直接可用版软件大小：14MB更新时间：2015-01-04 SQLmap的作者是谁？ Bernardo DameleAssumpcao Guimaraes (@inquisb)，读者可以通过bernardo@sqlmap.org与他取得联系，以及Miroslav Stampar (@stamparm)读者可以通过miroslav@sqlmap.org与他联系。 同时读者也可以通过dev@sqlmap.org与SQLmap的所有开发者联系。 执行SQLmap的命令是什么？ 进入sqlmap.py所在的目录，执行以下命令： #python sqlmap.py -h （译注：选项列表太长了，而且与最新版本有些差异，所以这里不再列出，请读者下载最新版在自己机器上看吧） SQLmap命令选项被归类为目标（Target）选项、请求（Request）选项、优化、注入、检测、技巧（Techniques）、指纹、枚举等。 如何使用SQLmap： 为方便演示，我们创建两个虚拟机： 1、受害者机器， windows XP操作系统，运行一个web服务器，同时跑着一个包含漏洞的web应用（DVWA）。 2、攻击器机器，使用Ubuntu 12.04，包含SQLmap程序。 本次实验的目的：使用SQLmap得到以下信息： 3、枚举MYSQL用户名与密码。 4、枚举所有数据库。 5、枚举指定数据库的数据表。 6、枚举指定数据表中的所有用户名与密码。 使用SQLmap之前我们得到需要当前会话cookies等信息，用来在渗透过程中维持连接状态，这里使用Firefox中名为“TamperData”的add-on获取。 当前得到的cookie为“security=high;PHPSESSID=57p5g7f32b3ffv8l45qppudqn3″。 为方便演示，我们将DVWA安全等级设置为low： 接下来我们进入页面的“SQL Injection”部分，输入任意值并提交。可以看到get请求的ID参数如下： “http://10.10.10.2/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#” 因此该页面就是我们的目标页面。 （编辑：聊城站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐
