sqlmap编写tamper脚本

最新推荐文章于 2025-11-11 21:31:44 发布

原创

最新推荐文章于 2025-11-11 21:31:44 发布 · 1.7k 阅读

4 ·

CC 4.0 BY-SA版权

本文介绍了sqlmap的tamper脚本功能，它用于修改请求头以绕过IDS/WAF检测。通过分析现有tamper脚本，如lowercase.py，并理解tamper脚本在SQL注入检测中的作用，可以学习如何自定义编写tamper脚本来帮助自动化注入工具构造有效Payload。

前言

sqlmap是一个开源渗透测试工具，它可以自动检测和利用SQL注入漏洞并接管数据库服务器的过程。它具有强大的检测引擎，针对最终渗透测试仪的众多利基功能，以及广泛的开关，包括数据库指纹识别，从数据库中获取数据，访问底层文件系统以及通过外出在操作系统上执行命令，带内连接。sqlmap是一个开源渗透测试工具，它可以自动检测和利用SQL注入漏洞并接管数据库服务器的过程。它具有强大的检测引擎，针对最终渗透测试仪的众多利基功能，以及广泛的开关，包括数据库指纹识别，从数据库中获取数据，访问底层文件系统以及通过外出在操作系统上执行命令，带内连接。

tamper脚本

我们在下载好的SQLmap文件夹里可以找到文件夹tamper，其中该文件夹有44个脚本分别对57种WAF进行检测。例如360，绿盟WAF，modsecurity.，百度，fortiweb，cloudflare。由此可见老外对国内的WAF也是有了解的，可见他们也会悄悄对国内的WAF进行绕过。

其实一个简单的Tamper能够帮助我们修改Payload，修改请求头中的Header值，从而绕过IDS/WAF的检测。

这里的Payload就是指我们的每一个检测注入的SQL，在注入的时候我们可以加上-v 3参数来查看Payload。

分析tamper脚本

选取其中一个脚本lowercase.py作为样本分析

##此处用法为：程序到env设置里查找python的安装路径，再调用对应路径下的解释器程序完成
#!/usr/bin/env python


#多行注释符，此处为三个双引号，因为是其中也有单引号，并且该说明为一般文档说明，故用三个双引号
"""
Copyright (c) 2006-2020 sqlmap developers (http://sqlmap.org/)
See the file 'LICENSE' for cop