TIP1

當我們注射的時候，判斷注入

http://site/script?id=10
http://site/script?id=11-1 # 相當于 id=10
http://site/script?id=(select 10) # 相當于 id=10
http://site/script?id=10 and 1=1 #失敗

通過判斷可發現and和or被過濾

http://site/script?id=10– # 失敗
http://site/script?id=10;– #失敗
http://site/script?id=10);– #失敗
http://site/script?id=10)subquery;– #失敗

你可以用burp的intruder的字典跑，但是仍然失敗。

這里可以用到SQL語句的case when …then … else … end語句

CASE WHEN語句在DB2,ORACLE,SQL SERVER系列,SYBASE等大型數據庫都受到支持，是標準的SQL語句。

可以這樣子理解：CASE… WHEN… THEN …ELSE …END

CASE WHEN 語法有兩種情況:

***種是CASE 后面不帶表達式的;

CASE WHEN expression THEN 操作1
WHEN expression THEN 操作2
.......
ELSE 操作n
END 

第二種是CASE 后面帶表達式的(而此時WHEN 后面的則是該表達式可能的值)，通用。

CASE expression
WHEN expression值1 THEN 操作1
WHEN expression值2 THEN 操作2
.......
ELSE 操作n
END 

http://host/script?id=11-(case when 1=1 then 1 else 0 end) 
用1=1跟1=2測試
http://host/script?id=10 # 當條件為真的時候
http://host/script?id=11 # 當條件為假的時候 

可以很明顯的看到返回不同,然后可以判斷注入。那么怎么能讓sqlmap去識別呢?

Sqlmap默認是自己尋找注入點的,但是你加上一個*,可以引導他。

語句

sqlmap.py -u http://host/script?id=11-(case when 1=1星號 then 1)

注入最頭痛的就是遇到過濾,sqlmap提供了字符轉換的功能

“–tamper=between”當然自己可以改寫轉換內容,文件在/tamper目錄下。

關于post注入 sqlmap可以用-r參數 加載數據包

sqlmap.py -r post.txt

繼續補充一點: having xor等邏輯符號也可以判斷注入。#p#

TIP2

POST注入

有兩種方法來進行post注入，一種是使用--data參數，將post的key和value用類似GET方式來提交。二是使用-r參數，sqlmap讀取用戶抓到的POST請求包，來進行POST注入檢測。

查看payload

之前一直是加本地代理，然后用burpsuit來看sqlmap的payload，到現在才發現用-v參數就可以實現。一直認為-v實現的只是控制警告，debug信息級別。實際上使用-v 3就可以顯示注入的payload，4,5,6還可以顯示HTTP請求，HTTP響應頭和頁面。

使用google搜索

sqlmap可以測試google搜索結果中的sql注入，很強大的功能吧。使用方法是參數-g。不過感覺實際使用中這個用的還是很少的。

請求延時

在注入過程中請求太頻繁的話可能會被防火墻攔截，這時候--delay參數就起作用了。可以設定兩次HTTP請求間的延時。有的web程序會在多次錯誤訪問后屏蔽所有請求，這樣就導致之后所有的測試無法進行，繞過這個策略可以使用--safe-url，每隔一段時間去訪問一個正常的頁面。

偽靜態頁面

有些web服務器進行了url rewrite或者網站是偽靜態的，無法直接提供測試參數，這樣子可以使用*來代替要測試的參數。

執行系統命令

當數據庫支持，并且當前用戶有權限的時候，可以執行系統命令，使用--os-cmd或者--os-shell，具體的講，當可以執行多語句的時候，會嘗試用UDF(MySQL，PostgrepSQL)或者xp_cmdshell(MSSQL)來執行系統命令。不能執行多語句時，仍然會嘗試創建一個webshell來執行語句，這時候就需要web的絕對路徑了。總體來說，成功率偏低，不過個人也有成功的經驗～

測試等級

sqlmap使用--level參數來進行不同全面性的測試，默認為1，不同的參數影響了使用哪些payload，2時會進行cookie注入檢測，3時會進行useragent檢測。

TIP3

SQLMAP 項目官方WIKI(詳盡) 地址