Sqlmap安装保姆级教程SQL注入使用指南
mhr18 2024-10-01 12:14 17 浏览 0 评论
一、sqlmap简介
sqlmap是一个自动化的SQL注入工具，其主要功能是扫描，发现并利用给定的URL进行SQL注入。目前支持的数据库有MySql、Oracle、Access、PostageSQL、SQL Server、IBM DB2、SQLite、Firebird、Sybase和SAP MaxDB等
Sqlmap采用了以下5种独特的SQL注入技术
- 基于布尔类型的盲注，即可以根据返回页面判断条件真假的注入
- 基于时间的盲注，即不能根据页面返回的内容判断任何信息，要用条件语句查看时间延迟语句是否已经执行(即页面返回时间是否增加)来判断
- 基于报错注入，即页面会返回错误信息，或者把注入的语句的结果直接返回到页面中
- 联合查询注入，在可以使用Union的情况下注入
- 堆查询注入，可以同时执行多条语句时的注入
Sqlmap的强大的功能包括 数据库指纹识别、数据库枚举、数据提取、访问目标文件系统，并在获取完全的操作权限时执行任意命令。
sqlmap是一个跨平台的工具，很好用，是SQL注入方面一个强大的工具！
常用指令
sqlmap -r http.txt #http.txt是我们抓取的http的请求包二、安装
1、安装git
apt-get install git
2、克隆sqlmap
git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git sqlmap-dev
3、测试sqlmap是否正常工作，前提要安装python。
[Python]版本**2.6**, **2.7** and **3.x**
cd sqlmap-dev/
./sqlmap.py -h
查看sqlmap的命令字帮助手册
-u "url" #检测注入点测试扫百度主页：批量表单检测
./sqlmap.py -u "https://www.baidu.com/" --dbs --batch --forms
相关推荐
- 一文带您了解数据库的行列之争:行式与列式存储的异同
-
数据库存储格式是数据库管理系统中一个至关重要的方面，它直接影响到数据的组织和检索效率。在数据库中，有两种主要的存储格式，即行式存储和列式存储。这两者采用截然不同的方法来组织和存储数据，各自具有一系列优...
- NL2SQL(三)开源项目怎么选:talk is cheap, show me the code!
-
老规矩，先看效果下面的demo来自试用的SuperSonic，将会在下面详细介绍：大模型时代Text-to-SQL特点随着基于LLM技术的发展，RAG/AIAgent/Fine...
- JDK25长期支持版九月降临:18项王炸功能全解析
-
Java要放大招啦！9月份推出的JDK25长期支持版已经锁定18个超能力，从稳定值到结构化并发，还有Linux系统下的"预知未来"性能分析！下面我用打游戏的术语给你们掰扯明白：1、飞...
- OceanBase 推出单机版 高度兼容MySQL和Oracle
-
【环球网科技综合报道】3月27日，独立数据库厂商OceanBase正式发布单机版产品。据悉，这一产品基于自主研发的单机分布式一体化架构设计，具备极简数据库架构和高度兼容性，为中小规模业务提供兼具性能与...
- 黄远邦:应对7月1日闰秒对Oracle数据库影响
-
由于今年7月1日全世界会多出一秒，这可能对时间敏感的IT系统造成较大影响。中亦科技数据库团队对此问题做了深入的研究，并对用户系统提出了相应的解决方法及建议。中亦科技数据库产品总监黄远邦认为,闰秒调整会...
- MySQL数据库密码忘记了，怎么办?（mysql 数据库密码）
-
#头条创作挑战赛#MySQL数据库密码忘记了且没有其他可以修改账号密码的账户时怎么办呢？登录MySQL，密码输入错误/*密码错误，报如下错误*/[root@TESTDB~]#mysql-u...
- Chinese AI Talent in Spotlight as Nvidia and Meta Escalate Talent War
-
OntherightisBanghuaZhu,ChiefResearchScientistatNVIDIATMTPOST--SiliconValley’stoptech...
- 用Cursor开启JAVA+AI生涯（javascirpt怎么开启）
-
Cursor是基于VSCode开发的一款编辑器，支持多种语言的开发编辑。与传统的开发工具相比，它有多种优势：与AI无缝集成，响应速度快，占用内存小。但很多同学在"起步"过程中遇到了...
- 毕业十年了，自从做了开发用了很多软件，但距离写开发工具还很远
-
办公系统类：办公软件Word、Excel、PowerPoint三大必备技能+腾讯/金山在线文档解压缩操作：7-zip/winrar文件文本处理：Notepad++(文本编辑器正则表达式超级好...
- 盘点Java中最没用的知识⑤:这3个老古董你还在代码里“考古”?
-
一、Stack类：“继承Vector”的历史bug，为何成了性能拖油瓶？你是不是在学Java集合时，老师说过“栈结构用Stack类”？是不是在老代码里见过"newStack<>(...
- Gemini 2.5 Pro 0506发布，编程最强大模型， 碾压 Claude3.7 sonnent
-
一、Gemini2.5Pro(I/Oedition)发布1、为何叫I/Oedition？谷歌史上最强编程模型Gemini2.5Pro(I/Oedition)发布，具体型号是Gemin...
- 如何让无聊变得有趣(附本人大量美图)
-
文/图：金冬成在这条长300公里的公路上，我已经来回往返了无数次。3小时车程，一个人，想想都是多么无聊的一件事。其实，人生道路上，类似这种无聊的事情有很多很多。无聊的事情、枯燥的工作，往往让我们容易失...
- Oracle 推出 Java 24，增强 AI 支持和后量子加密
-
导读：Oracle宣布正式发布Java24，该语言增加了几个新功能，例如StreamGatherersAPI和Class-FileAPI的可用性，以及专门为AI推理和量子安全设计...
- 公司ERP突然变慢?“索引重建”这颗“药”可不能随便吃!
-
各位老板、IT小哥、财务小姐姐，有没有遇到过公司ERP系统突然卡顿得像“老爷车”，点个按钮半天没反应，急得直跺脚？这时候，可能有人会跳出来说：“我知道，重建一下数据库索引就好了！”听起来像个“神操作”...
- 基于Java实现，支持在线发布API接口读取数据库，有哪些工具?
-
基于java实现，不需要编辑就能发布api接口的，有哪些工具、平台？还能一键发布、快速授权和开放提供给第三方请求调用接口的解决方案。架构方案设计：以下是一些基于Java实现的无需编辑或只需少量编辑...
欢迎 你 发表评论:
- 一周热门
- 最近发表
-
- 一文带您了解数据库的行列之争:行式与列式存储的异同
- NL2SQL(三)开源项目怎么选:talk is cheap, show me the code!
- JDK25长期支持版九月降临:18项王炸功能全解析
- OceanBase 推出单机版 高度兼容MySQL和Oracle
- 黄远邦:应对7月1日闰秒对Oracle数据库影响
- MySQL数据库密码忘记了，怎么办?（mysql 数据库密码）
- Chinese AI Talent in Spotlight as Nvidia and Meta Escalate Talent War
- 用Cursor开启JAVA+AI生涯（javascirpt怎么开启）
- 毕业十年了，自从做了开发用了很多软件，但距离写开发工具还很远
- 盘点Java中最没用的知识⑤:这3个老古董你还在代码里“考古”?
- 标签列表
-
- oracle位图索引 (74)
- oracle批量插入数据 (65)
- oracle事务隔离级别 (59)
- oracle 空为0 (51)
- oracle主从同步 (55)
- oracle 乐观锁 (51)
- redis 命令 (78)
- php redis (88)
- redis 存储 (66)
- redis 锁 (69)
- 启动 redis (66)
- redis 时间 (56)
- redis 删除 (67)
- redis内存 (57)
- redis并发 (52)
- redis 主从 (69)
- redis 订阅 (51)
- redis 登录 (54)
- redis 面试 (58)
- 阿里 redis (59)
- redis 搭建 (53)
- redis的缓存 (55)
- lua redis (58)
- redis 连接池 (61)
- redis 限流 (51)