第十三章—手动漏洞挖掘（九）——SQLMAP自动注入（二）

sqlmap自动注入（二）—request （1）

1. --data

--data
#post方法，原https://1.1.1.1/a.php
sqlmap -u "https://1.1.1.1/a.php" --data="user=1&pass=2" -f
#get方法，原      https://1.1.1.1/a.php?user=1&pass=2
sqlmap -u "http://1.1.1.1/a.php" --data="user=1&pass=2" -f

1.1使用方法—post

url为http://10.0.0.141/mutillidae/index.php?page=login.php
参数为username、password/login-php-submit-button
命令：sqlmap -u “http://10.0.0.141/mutillidae/index.php?page=login.php” --data=“username=123&password=123&login-php-submit-button=Login”

1.2使用方法—get

url为：http://10.0.0.141/mutillidae/index.php?page=user-info.php&username=1&password=1&user-info-php-submit-button=View+Account+Details
使用–data参数命令为：sqlmap -u “http://10.0.0.141/mutillidae/index.php” --data=“page=user-info.php&username=1&password=1&user-info-php-submit-button=View+Account+Details” -p username --users

2. 变量分隔符：–param-del

大部分url里多个参数之间都是用&来连接，但有些提交数据时，格式是；或其他符号，此时我们需要通过–param-del参数高速webapplication，此时的url是用其他的符号链接的

#eg：http://1.1.1.1/a.php?q=foo;id=1
sqlmap -u "http://1.1.1.1/a.php" --data="q=foo;id=1" --param-del=";" -f

3.http头

3.1 cookie头

1.web应用都需要基于cookie的身份认证，只要拿到一个合法的cookie值，就可以把这个值交给sqlmap，以身份认证的身份去执行后续的命令。
2.sqlmap也会检查cookie的注入点，sqlmap也会自动进行尝试。前提是level>=2，需加上–level 2 –
3.也有一些情况，webapplication在运行sqlmap过程中，web应用可能更新了cookie的值，由于客户端的请求，服务器就会给客户端相应一个新的set-cookie的头，里面包含了接下来要使用的新的cookie值，sqlmap会自动识别set-cookie值，如果cookie值有更新，sqlmap会自动更新下一次请求要使用的cookie值，如果不想这样去更新的话，也可以加上–drop-set-cookie参数，当服务器给我返回新的cookie值，sqlmap会drop掉，仍然使用原来的值。

3.2 --user-agent和–random-agent

默认sqlmap在发送扫描探测时的格式是sqlmap/1.0-dev-xxxxxxx(http://sqlmap.org)，只有加上–random-agent参数才会随机生成user-agent，他有一个字典文件，使用该参数的时候，会从该字典中随机抽取作为user-agent头。

find / -name user-agents*
/usr/share/sqlmap/data/txt/user-agents.txt
#指定具体的
sqlmap -u "http://10.0.0.141/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low;PHPSESSID=9bc0822c9206e916cf3f9aa339f63550" --user-agent="aaaa" --dbs
#随机指定
sqlmap -u "http://10.0.0.141/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low;PHPSESSID=9bc0822c9206e916cf3f9aa339f63550" --random-agent --dbs

想要sqlmap检查user-agent中的注入点，需要level>=3

3.3 host头

--host="xxx"
#想要sqlmap检查host中的注入点，需要level=5，最高级别容易引起注意
--level 5

3.4 referer头

从一个页面点到另一个页面，发出的请求里有一个referer头，把原来所处的页面url会在这个头里现实出来。

--referer=""
#想要sqlmap检查referer中的注入点，需要level<=5，最高级别容易引起注意
--level 3

3.5 额外的header:–headers

除了上述标准的http头，根据web开发者，他可以加一些自定义的http头，这种情况，使用标准的参数就不够用了，所以必须使用自定义的额外的http头，此时可以使用–headers参数把额外的http头告诉sqlmap，sqlmap才能构造完整的命令。

#eg:
--deaders="Host:xxx.xxx.xxx\nUser-Agent:xxxxxx" #如果指定多个参数，需要换行，加\n，且每一个字母的第一个单词必须大写

4. --method

有些情况，web指定请求必须使用get或者post方法，此时可以使用–method参数去指定

--method=GET
--method=POST

5. 基于HTTP协议的身份验证

一个web可可能不是使用基于表单的身份认证，而是使用基于http协议的身份验证，使用–auth-type指定验证类型。
基于http协议的身份验证类型：

• Basic
• Digest 摘要
• NTLM 如果是一个windows系统

sqlmap -u "http://1.1.1.1/a.php?id=1" --auth-type Basic --auth-cred "user:pass"

基于客户端证书的身份认证：
–auth-cert / --auth-file
–auth-file=“ca.PEM”
含有私钥的PEM格式证书文件，PEM格式的证书链文件。

6.http(s)代理

我们在扫描时要做好被目标服务器屏蔽的准备，此时我们就可以使用代理服务器的ip，这样就算目标服务器发现有扫描行为，他发现的也是代理服务器的ip，他屏蔽的也是代理服务器的ip，而不是我们真是的ip。

--proxy="http://127.0.0.1:8087"
--proxyy-cred="name:pass"
--ignore-proxy #忽略系统级代理设置，通常用于扫描本地网络目标

7. --delay

sqlmap在检测sql注入漏洞是否存在的阶段，会向目标服务器发送大量的请求，如果发送的请求量过于巨大的时候，可能会触发web服务器端的控制机制、入侵检测的功能而被发现，我们的请求就可能会被禁止，保守起见，我们可以设置delay的时间。即每次向服务器发送请求时，中间都会延迟一段时间。
每次http(s)请求之间延迟时间，浮点数，单位为秒，默认无延迟。

8. --timeout

当你向web服务器发起请求，服务器就会在一段时间把回包返回到机器上，如果长时间无法收到服务器的回包，就会一直等待，我们可以设置请求超时时间，在该时间内没收到服务器的回包，就要再尝试两次，如果仍然没有响应结果，就默认该服务器访问不可达，就不会再进行后续的请求了。
–timout：请求超时时间，浮点数，默认为30秒。

9. --retries

http(s)连接超时重试次数，默认3次。

10.–randomize

长度、类型与原始值保持一致的前提下，指定每次请求随机取值的参数名。
eg：sqlmap -u “https://1.1.1.1/a.php?id=100”，我们想保持id的值为随机的三位数字，我们可以在命令后添加–randomize=“id”。

11. --scope

过滤日志内容，通过正则表达式去筛选扫描对象。
eg：sqlmap -l burp.org --scope="(www)?.target(com|net|org)"
sqlmap -l 2.log --scopr="(19)?.168.20(1|10|100)" --level 3 --dbs

12. --safe-url / --safe-freq

监测和盲注阶段会产生大量失败请求，服务器端可能因此销毁session
每发送–safe-freq次注入请求后，发送一次正常请求。

13.–skip-urlencode

跳过url编码。
默认情况下，http默认get方法，通过url传输提交数据，为了保证传输数据格式的统一，RFC规定http通过get方式的请求发送的url地址里数据内容笔记经过标准的url编码提交给服务器，服务器根据这些编码还原数据。

14.–eval

通过该参数写一段python脚本代码，对要请求的url地址的变量参数进行一个个的修改、添加等操作，通过该操作可以使每次提交的请求内容都不同。
典型的使用场景：忘记密码，找回密码。
eg：
sqlmap -u “http://1.1.1.1/a.php?id=1&hash=c4fdsagf2ge5d2s23agdsg2sa” --eval=“import hashlib;hash=hashlib.md5(id).hexdigest()”