sqlmap：从基础用法到漏洞利用实战

晓翔仔

已于 2025-03-14 08:34:11 修改

阅读量1.1k

点赞数 20

分类专栏： Penetration test 文章标签： web安全信息安全网络安全 sqlmap 数据库安全

于 2025-03-06 09:04:18 首次发布

本文链接：https://blog.youkuaiyun.com/qq_33163046/article/details/146058163

版权

Penetration test 专栏收录该内容

51 篇文章

订阅专栏

1. sqlmap基础认知

sqlmap是一款开源的渗透测试工具，能自动检测和利用SQL注入漏洞，支持MySQL、Oracle、PostgreSQL等多种数据库管理系统。其设计旨在简化SQL注入检测流程，助力安全人员在复杂网络环境中快速定位与评估漏洞风险。它通过发送精心构造的SQL查询，分析Web应用程序的响应，判断是否存在SQL注入点以及可利用的漏洞类型。这一工具的出现，极大地提高了SQL注入漏洞检测的效率，让安全测试人员能够在更短时间内发现并应对潜在的安全威胁。

2. sqlmap常见用法及参数详解

2.1 指定目标

2.1.1 URL直接指定

最直接方式是用-u参数明确目标URL。例如：

sqlmap -u "http://www.example.com/vulnerable_page.php?id=1"

此例中，告知sqlmap对该URL检测，尤其关注id参数，因其很可能存在SQL注入点。URL可为任何怀疑有漏洞的Web页面地址，参数部分可依实际调整。通过这种方式，sqlmap能够直接对目标URL发起检测，尝试不同的注入 payload 来判断参数是否存在安全隐患。

2.1.2 从文件加载请求

若通过抓包工具（如Burp Suite）获取HTTP请求并保存为文件（如request.txt），可用-r参数加载该文件让sqlmap检测：

sqlmap -r request.txt

该方式在处理复杂请求或模拟特定环境时极为有用。如请求含多个自定义头信息、特殊请求体格式或特殊编码数据，通过保存文件能精准控制sqlmap发送的请求内容，提升检测针对性。例如，当请求涉及到特殊的身份验证机制、复杂的业务逻辑参数组合时，直接通过URL难以完整表述所有信息，而从文件加载请求可以确保所有细节都被准确传递给sqlmap进行检测。

2.2 请求设置

2.2.1 自定义请求头

使用-H参数可添加额外HTTP头信息。例如，模拟特定浏览器类型发送请求：

sqlmap -u "目标URL" -H "User - Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36"

这对绕过基于用户代理的防护机制或模拟特定客户端行为很有效。还可按需添加Referer、Cookie等其他头信息。如添加自定义Cookie信息：

sqlmap -u "目标URL" -H "Cookie: session_id = 1234567890; user_role = admin"

通过自定义请求头，sqlmap可以伪装成不同的客户端，绕过一些依赖特定请求头进行访问控制或防护的机制，从而更全面地检测目标应用程序在不同客户端环境下的安全性。

2.2.2 处理POST数据

当目标URL通过POST方法提交数据时，借助--data参数指定POST数据。例如：

sqlmap -u "http://www.example.com/login.php" --data "username = admin&password = 123456"

实际应用中，POST数据可能更复杂，含多个参数和特殊字符。此时要确保数据格式正确，必要时对特殊字符进行URL编码。若参数值分隔符非默认&，可用--param - del参数指定。例如，参数值用;分隔：

sqlmap -u "目标URL" --data "param1 = value1;param2 = value2" --param - del = ";"

对于POST请求的处理，使sqlmap能够针对表单提交、AJAX请求等常见的POST数据场景进行SQL注入检测，覆盖了Web应用程序中大量可能存在漏洞的交互点。

2.3 优化性能

2.3.1 多线程加速

通过--threads参数设置并发线程数可显著加快扫描速度。例如：

sqlmap -u "目标URL" --threads 10

设置10个线程同时进行HTTP请求和检测操作。但需注意，过高线程数可能对目标服务器造成较大压力，甚至致请求超时或被目标防护机制拦截。实际使用时，要依目标服务器性能和网络状况合理调整线程数。多线程技术能够充分利用网络带宽和本地计算资源，在单位时间内发送更多的检测请求，从而快速发现潜在漏洞，但需要在效率和对目标的影响之间找到平衡。

2.3.2 预测输出提升效率

--predict - output参数能让sqlmap预测常见查询的输出，减少不必要的检测步骤，提高检测效率。例如，检测常见数据库操作（如查询用户表、获取数据库版本信息）时，该参数可助sqlmap更快识别和处理已知模式的响应，节省大量时间。通过预测输出，sqlmap可以避免重复执行一些常规且结果可预期的检测操作，直接对可能存在异常或漏洞的情况进行深入分析，从而提升整体检测效率。

2.4 注入类型与技术选择

2.4.1 指定注入技术

--technique参数用于精准指定具体SQL注入技术。SQL注入技术多样，包括布尔盲注（B）、报错注入（E）、联合查询注入（U）、堆叠查询注入（S）、时间盲注（T）等。例如，若只想用布尔盲注和报错注入检测，可执行：

sqlmap -u "目标URL" --technique = BE

布尔盲注通过构造条件语句，依页面返回真假推断数据；报错注入利用数据库执行错误获取信息。实际场景中，某些目标环境可能对特定注入技术响应更好，指定技术可提高检测针对性和成功率。比如，在一些对错误信息输出进行严格控制的环境中，布尔盲注可能更适用；而在能够显示详细数据库错误的环境下，报错注入能更快获取关键信息。

2.4.2 全面检测多种类型

默认情况下，sqlmap会自动尝试多种类型SQL注入检测。这是较通用方式，适用于多数未知环境扫描。但在复杂或特殊场景中，可能需依目标应用特点和已知信息，灵活调整检测技术组合，提高检测效率和准确性。全面检测多种类型确保了在不了解目标详细信息的情况下，sqlmap有较大概率发现潜在的SQL注入漏洞。而根据实际情况灵活调整技术组合，则能更好地应对各种复杂和特殊的Web应用环境。

2.5 枚举与数据获取

2.5.1 获取数据库信息

使用--dbs参数可枚举目标数据库管理系统中的所有数据库名称。例如：

sqlmap -u "目标URL" --dbs

执行该命令后，sqlmap会尝试与目标数据库建立连接，获取所有可用数据库列表。这是深入探索目标系统的基础步骤，了解数据库结构有助于后续针对性操作。通过获取数据库名称，安全测试人员可以明确目标系统所使用的数据库类型以及可能存在的敏感数据库，为进一步的表和数据探索做准备。

--current - db参数用于获取当前正在使用的数据库名称。例如：

sqlmap -u "目标URL" --current - db

这在确定当前数据库环境及后续对特定数据库进行操作时很有用。知道当前使用的数据库名称，能够更准确地进行后续的查询和数据获取操作，避免因数据库环境混淆而导致错误。

2.5.2 获取表和列信息

-D参数指定要操作的数据库，结合--tables参数可获取指定数据库中的所有表名。例如：

sqlmap -u "目标URL" -D target_db --tables

这里target_db替换为实际查询的数据库名称。获取表名可了解数据库中存储数据的结构和组织方式，为后续获取列信息和数据做准备。表名的获取能够帮助安全测试人员理解数据库中数据的分类和存储方式，从而有针对性地进一步探索列信息和数据内容。

-T参数指定要操作的表，搭配--columns参数能获取指定表中的所有列名。例如：

sqlmap -u "目标URL" -D target_db -T target_table --columns

其中，target_table是要查询的表名。获取列名对理解表中存储的数据类型和含义至关重要，是后续数据提取的关键步骤。列名的获取可以让安全测试人员知道每个表中存储的数据字段，为精确提取敏感数据提供依据。

2.5.3 转储数据

使用--dump参数可转储表中的数据。例如：

sqlmap -u "目标URL" -D target_db -T target_table --dump

该命令会将target_table表中的数据逐行提取并展示。若只想获取表中部分数据，可用--start和--stop参数指定数据范围。例如，只获取第10到20条数据：

sqlmap -u "目标URL" -D target_db -T target_table --dump --start = 10 --stop = 20

转储数据是利用SQL注入漏洞获取实际敏感信息的关键步骤。通过精确控制数据提取的范围和内容，安全测试人员可以获取到目标数据库中的关键数据，如用户账号、密码、交易记录等。

3. 实战案例：发现漏洞并获取数据库数据

3.1 案例一：基于URL参数检测

假设目标URL为https://example - target.com/api/SomeModule/GetData?param = some_value，经初步分析，怀疑param参数存在SQL注入漏洞。以下用sqlmap逐步检测和获取数据。

3.1.1 检测数据库类型

首先用以下命令初步检测：

sqlmap -u "https://example - target.com/api/SomeModule/GetData?param = some_value" -p param --force - ssl --threads 10 --no - cast

此命令中，-p param明确指定检测param参数，因其可能存在注入风险。--force - ssl参数强制sqlmap使用SSL连接，因目标URL用HTTPS协议，确保通信安全。--threads 10设置10个并发线程加快检测速度，但要避免对目标服务器压力过大。--no - cast参数禁止数据类型转换，在某些特殊数据库环境中可提高检测准确性，防止因类型转换问题致检测失败。通过这一步，sqlmap开始对目标URL的param参数进行检测，判断是否存在SQL注入漏洞以及目标数据库的类型。

3.1.2 枚举数据库

确认存在注入后，用以下命令枚举数据库：

sqlmap -u "https://example - target.com/api/SomeModule/GetData?param = some_value" -p param --dbs --force - ssl --threads 10 --no - cast

执行该命令后，sqlmap会与目标数据库管理系统交互，发送一系列精心构造的查询语句，通过分析响应获取所有数据库名称。过程中，sqlmap会依之前检测到的注入类型和目标数据库特点，选择合适检测方法。如布尔盲注，会构造不同条件查询，依页面返回真假推断数据库名称字符。这一步帮助安全测试人员获取目标系统中所有数据库的信息，为进一步深入探索提供基础。

3.1.3 获取表名

假设从枚举数据库结果得知目标数据库名为main_database，用以下命令获取该数据库中的表名：

sqlmap -u "https://example - target.com/api/SomeModule/GetData?param = some_value" -p param -D main_database --tables --force - ssl --threads 10 --no - cast

这里-D main_database指定操作数据库为main_database。sqlmap会针对该数据库发送查询语句，获取所有表名。与枚举数据库类似，会依不同注入技术和数据库特性，采用相应策略获取表名。如联合查询注入，可能构造联合查询语句，将查询结果与页面正常内容结合获取表名信息。通过获取表名，安全测试人员可以了解到main_database中存储数据的结构和分类。

3.1.4 获取列名

确定表名为important_table后，用以下命令获取该表列名：

sqlmap -u "https://example - target.com/api/SomeModule/GetData?param = some_value" -p param -D main_database -T important_table --columns --force - ssl --threads 10 --no - cast

此命令中，-T important_table指定查询列名的表为important_table。sqlmap会向数据库发送查询，获取表中所有列的名称、数据类型等信息。获取列名过程同样依赖之前确定的注入技术，通过巧妙构造查询语句，从数据库响应中解析列名信息。列名的获取为后续精确提取数据提供了关键信息，让安全测试人员知道表中存储的数据字段。

3.1.5 转储数据

最后用以下命令获取important_table表中的数据：

sqlmap -u "https://example - target.com/api/SomeModule/GetData?param = some_value" -p param -D main_database -T important_table --columns --dump --force - ssl --threads 10 --no - cast

执行该命令后，sqlmap会将important_table表中的数据逐行提取，展示在终端或输出到指定文件。若表中数据量较大，此过程可能需一些时间。数据提取过程中，sqlmap会根据列的数据类型和注入技术，采用合适方式获取每一行数据，确保数据完整性和准确性。通过这一步，安全测试人员成功获取到了目标表中的数据，这些数据可能包含敏感信息，如用户隐私、业务关键数据等。

3.1.6 变更代码修复漏洞

3.1.6.1 优化前漏洞原因

针对一个实际的漏洞例子。
优化前的代码中，where new_missionid in(‘{0}’) 直接拼接 ids 参数到 SQL 语句。若 ids 输入包含恶意 SQL 代码（如 1’ or 1=1–），拼接后会改变 SQL 语义，执行非预期的查询逻辑，从而引发 SQL 注入漏洞。例如，恶意输入可能绕过权限校验，获取非授权数据。

string sql = string.Format(@"select id, 
......
                        from v_Lead 
                        where new_missionid in('{0}') order by modifiedon desc", 
                        ids);
using (PersisitBroker pb = new PersisitBroker("randonlly"))
{
    var dt = pb.Query(sql);
}

3.1.6.2 优化后修复原理

优化后的代码采用参数化查询：
SQL 语句调整：将 in(‘{0}’) 改为 in (@ids)，通过占位符 @ids 表示参数，明确区分 SQL 代码与数据。
参数传递方式：通过 new Dictionary<string, object>() {{ { “@ids”, ids } }} 传递参数，数据库引擎会将 @ids 视为普通数据，而非可执行的 SQL 代码，从根本上阻断 SQL 注入的可能。

string sql = string.Format(@"select leadid, 
......
                        from v_Lead 
                        where new_missionid in (@ids) order by modifiedon desc");
using (PersisitBroker pb = new PersisitBroker("randonlly"))
{
    var dt = pb.Query(sql, new Dictionary<string, object>() { { "@ids", ids } });
}

3.2 案例二：基于请求文件检测

3.2.1 准备请求文件

通过抓包工具（如Burp Suite）捕获到含潜在SQL注入点的HTTP请求。假设捕获的请求如下：

POST /vulnerable - page HTTP/1.1
Host: www.example.com
User - Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36
Content - Type: application/x - www - form - urlencoded
Content - Length: 54

username = test&password = test&search = ' OR 1 = 1 --

将此请求保存为vulnerable_request.txt文件。需注意，请求文件格式必须严格正确，每一行代表一个HTTP头信息或请求体内容，且请求体内容要与实际发送一致。准备请求文件是利用sqlmap进行基于请求文件检测的第一步，确保请求文件准确无误是后续检测成功的基础。

3.2.2 使用sqlmap进行检测

用以下命令让sqlmap基于请求文件检测：

sqlmap -r vulnerable_request.txt

sqlmap会读取vulnerable_request.txt文件内容，解析出目标URL、请求方法、请求头和请求体等信息，并据此进行SQL注入检测。检测过程中，sqlmap会像处理直接通过URL指定的目标一样，尝试各种注入技术，分析服务器响应，判断是否存在SQL注入漏洞。若检测到漏洞，后续同样可用--dbs、--tables、--columns和--dump等类似参数，进行数据库枚举和数据获取操作。例如，枚举数据库：

sqlmap -r vulnerable_request.txt --dbs

若获取某个数据库（假设为target_db）中的表名：

sqlmap -r vulnerable_request.txt -D target_db --tables

通过基于请求文件的检测，sqlmap能够处理复杂的HTTP请求场景，发现潜在的SQL注入漏洞，并进行后续的数据获取操作，展示了其在不同测试场景下的强大功能。

4. 最后

sqlmap为安全测试人员提供了一套全面、高效的SQL注入检测与利用解决方案。通过深入理解其常见用法和参数选择，结合实际案例实践，安全专业人员能更好保护Web应用程序免受SQL注入攻击威胁。同时，对开发者而言，了解这些工具使用方法有助于在开发过程中采取有效安全措施，从源头上杜绝此类安全隐患。