Sqlmap 是一款开源软件，用于检测和利用数据库漏洞，
并提供注入恶意代码的选项。
它是一种渗透测试工具，可以自动检测和利用 SQL 注入缺
陷，并在终端中提供其用户界面。
该软件在命令行运行，可供下载用于不同的操作系统：
Linux，Windows 和 Mac OS 操作系统。
Sqlmap 支持检测 MySQL，Oracle，PostgreSQL，
Microsoft SQL Server，Microsoft Access，IBM DB2，SQLite，
Firebird 和 SAP MaxDB 等数据库的各种安全漏洞
采用五种独特的 SQL 注入技术，分别是：
1：基于布尔的盲注，即可以根据返回页面判断条件真假的注入。
2：基于时间的盲注，即不能根据页面返回内容判断任何信息，用条
件语句查看时间延迟语句是否执行（即页面返回时间是否增加）来判
断。
3：基于报错注入，即页面会返回错误信息，或者把注入的语句的结
果直接返回在页面中。
4：联合查询注入，可以使用 union 的情况下的注入。
5：堆查询注入，可以同时执行多条语句的执行时的注入。
sqlmap使用帮助
1.1 Options
-h, –help 显示基本帮助信息。该帮助信息相对比较少。
-hh 显示高级帮助信息。该帮助信息相对比较多。
–version 显示程序版本信息。
-v VERBOSE 详细级别（取值 0-6，默认是 1）。
1.2 Target:目标选项
至少需要使用下面的其中一个选项来设置目标。
-d DIRECT 指定直接数据库连接的连接字符串。直接连接到数
据库。
-u URL, –url=URL 指定 URL 目标 (如：”http://www.xxxx.com/vuln.
php?id=1″)
-l LOGFILE 从 Burp 或 WebScarab 代理的日志中解析目标
-x SITEMAPURL 从远程站点地图(.xml)文件解析目标
-m BULKFILE 扫描文本文件中给出的多个目标。批量扫描。
-r REQUESTFILE 从文件中加载 HTTP 请求
-g GOOGLEDORK 将 Google dork 的结果作为目标 URL
-c CONFIGFILE 从 INI 配置文件中加载选项
1.3 Request:请求选项
这些选项可以用来指定如何连接到目标 URL。
–method=METHOD 强制使用给定的 HTTP 方法 (如：PUT)
–data=DATA 通过 POST 方法发送数据字符串
–param-del=PARA.. 指定用于分割参数值的字符
–cookie=COOKIE HTTP Cookie 头
–cookie-del=COO.. 指定用于分割 Cookie 值的字符
–load-cookies=L.. 指定包含 Netscape/wget 格式的 Cookie 的文件
–drop-set-cookie 忽略响应中的 Set-Cookie 头
–user-agent=AGENT 指定 HTTP User-Agent 头
–random-agent 使用随机选定的 HTTP User-Agent 头
–host=HOST 指定 HTTP Host header
–referer=REFERER 指定 HTTP Referer header
-H HEADER, –hea.. 指定额外的 header (如：”X-Forwarded-For: 12
7.0.0.1″)
–headers=HEADERS 指定额外的 headers (如：”Accept-Language:
fr\nETag: 123″)
–auth-type=AUTH.. 指定 HTTP 身份验证类型(Basic, Digest, NTLM
or PKI)
–auth-cred=AUTH.. 指定 HTTP 身份验证凭据(name:password)
–auth-file=AUTH.. 指定 HTTP 身份验 PEM 证书。当 Web 服务器需要
客户端证书进行身份验证时，需要提供两个文件:key_file、cert_file。key_file
是格式为 PEM 文件，包含着你的私钥，cert_file 是格式为 PEM 的连接文件。
–ignore-code=IG.. 忽略 HTTP error 码(如：401)
–ignore-proxy 忽略系统默认代理配置
–ignore-redirects 忽略重定向的尝试
–ignore-timeouts 忽略连接超时
–proxy=PROXY 使用代理连接目标 URL
–proxy-cred=PRO.. 代理认证凭证 (name:password)
–proxy-file=PRO.. 从文件中加载代理列表
–tor 使用 Tor 匿名网络
–tor-port=TORPORT 设置 Tor 代理端口
–tor-type=TORTYPE 设置Tor代理类型(HTTP, SOCKS4 or SOCKS5
(default))
–check-tor 检查 Tor 的是否正确使用
–delay=DELAY 可以设定两个 HTTP(S)请求间的延迟
–timeout=TIMEOUT 可以设定一个 HTTP(S)请求超过多久判定为超时
(default 30)
–retries=RETRIES 设置连接超时后的重试次数(default 3)
–randomize=RPARAM 设定某一个参数值在每一次请求中随机的变化
–safe-url=SAFEURL URL address to visit frequently during testi
ng
–safe-post=SAFE.. POST 数据发送到安全的 URL
–safe-req=SAFER.. 从文件加载安全的 HTTP 请求
–safe-freq=SAFE.. Test requests between two visits to a given
safe URL
–skip-urlencode 跳过 URL 的有效载荷数据编码
–csrf-token=CSR.. 保存反 CSRF 令牌
–csrf-url=CSRFURL 访问提取 anti-CSRF 令牌
–force-ssl 强制使用 SSL/HTTPS
–hpp 使用 HTTP 参数污染的方法
–eval=EVALCODE 在请求之前评估提供的 Python 代码(如：
“import hashlib;id2=hashlib.md5(id).hexdigest
()”)
1.3 Optimization:优化选项
这些参数用于优化 sqlmap 的性能。
-o 打开所有的优化开关
–predict-output 预测常见的查询输出
–keep-alive 使用 HTTP(s)长连接（persistent 是不是翻译成持久
更恰当？）
–null-connection 没有实际的 HTTP 响应时的检索页面长度
–threads=THREADS HTTP(s)最大并发请求数(默认是 1)
1.4 Injection:注入选项
这些选项可以用来指定对哪些参数测试，提供一般的注入方式和可选可修
改的脚本注入。
-p TESTPARAMETER 可测试的参数
–skip=SKIP 跳过指定的参数
–skip-static 跳过静态测试参数
–param-exclude=.. 使用正则表达式从测试中排除参数
–dbms=DBMS 强制指定后端的 DBMS
–dbms-cred=DBMS.. DBMS 身份认证凭证(user:password)
–os=OS 强制指定后端的 DBMS 操作系统
–invalid-bignum Use big numbers for invalidating values
–invalid-logical Use logical operations for invalidating values
–invalid-string Use random strings for invalidating values
–no-cast 关闭 payload 构造机制
–no-escape 关闭字符逃避机制
–prefix=PREFIX 注入有效载荷前缀字符
–suffix=SUFFIX 注入有效负载后缀字符串
–tamper=TAMPER 使用给定的脚本修改注入的数据
1.5 Detection:探测选项
这些选项可用于自定义检测阶段
–level=LEVEL 测试等级(1-5, default 1)
–risk=RISK 测试的风险等级(1-3, default 1)
–string=STRING 字符串匹配查询时被评估为 True
–not-string=NOT.. 字符串匹配查询时被评估为 False
–regexp=REGEXP 正则表达式匹配查询时被评估为 True
–code=CODE HTTP code to match when query is evalu
ated to True
–text-only 仅根据文本内容比较页面
–titles 仅根据其标题比较页面
1.6 Techniques
这些选项可用于调整具体的 SQL 注入测试.
–technique=TECH SQL 注入技术测试 (default “BEUSTQ”)
–time-sec=TIMESEC DBMS 响应的延迟时间(default 5)
–union-cols=UCOLS 指定用于测试 UNION 查询注入的列范围
–union-char=UCHAR 暴力猜测列的字符数
–union-from=UFROM SQL 注入 UNION 查询使用的格式
–dns-domain=DNS.. DNS 泄露攻击使用的域名
–second-order=S.. URL 搜索产生的结果页面
Fingerprint:指纹
-f, –fingerprint 执行广泛的 DBMS 版本指纹检查
Enumeration:枚举
这些选项可以用来列举后端数据库管理系统的信息、表中的结构和数据。
此外，您还可以运行自定义的 SQL 语句。
-a, –all 获取所有信息
-b, –banner 获取 DBMS 标识
–current-user 获取 DBMS 当前用户
–current-db 获取 DBMS 当前数据库
–hostname 获取 DBMS 当前主机名
–is-dba 检测当前用户是否是 DBA
–users 枚举 DBMS 用户
–passwords 枚举 DBMS 用户密码 hash
–privileges 枚举 DBMS 用户权限
–roles 枚举 DBMS 用户角色
–dbs 枚举 DBMS 数据库
–tables 枚举 DBMS 数据库中的表
–columns 枚举 DBMS 数据库表的列
–schema 枚举 DBMS 架构
–count 检索表的项目数。如果只想获取表中的数据个数而
不是具体的内容可以使用这个参数，
–dump 转储 DBMS 数据库表
–dump-all 转储 DBMS 所有数据库表
–search 搜索列、表和（或）数据库名
–comments 获取 DBMS 注释
-D DB 指定要枚举的 DBMS 数据库名
-T TBL 指定要枚举的 DBMS 表
-C COL 指定要枚举的 DBMS 列
-X EXCLUDE 指定不要枚举的 DBMS 数据库
-U USER 指定要枚举的 DBMS 用户
–exclude-sysdbs 枚举表时排除 DBMS 系统数据库
–pivot-column=P.. 关键列的名称
–where=DUMPWHERE Use WHERE condition while table dum
ping
–start=LIMITSTART First dump table entry to retrieve
–stop=LIMITSTOP Last dump table entry to retrieve
–first=FIRSTCHAR 获取第一个查询输出字的字符
–last=LASTCHAR 获取最后查询的输出字字符
–sql-query=QUERY 要执行的 SQL 语句
–sql-shell 交互式 SQL shell
–sql-file=SQLFILE 从给定的文件执行 sql 语句
1.7 Brute force
这些选项可以被用来运行暴力检查
–common-tables 检查是否存在共同的表（与给定的表相对比）
–common-columns 检查是否存在共同的列（与给定的列相对比）
1.8 User-defined function injection:用户自定义函数注入
这些选项可以用来创建用户自定义函数。
–udf-inject 注入用户自定的函数
–shared-lib=SHLIB 共享库的本地路径
1.9 File system access:访问文件系统
这些选项可以被用来访问后端数据库管理系统的底层文件系统
–file-read=RFILE 从后端的 DBMS 文件系统读取文件
–file-dest=DFILE 后端 DBMS 写入文件的绝对路径
2.0 Operating system access:操作系统访问
这些选项可以用于访问后端数据库管理系统的底层操作系统
–os-cmd=OSCMD 执行操作系统命令
–os-shell 提示使用交互式操作系统 shell
–os-pwn 获取一个 OOB shell，meterpreter 或 VNC
–os-smbrelay 一键获取一个 OOBshell，meterpreter 或 VNC
–os-bof 存储过程缓冲区溢出利用
–priv-esc 数据库进程用户权限提升
–msf-path=MSFPATH MetasploitFramework 本地的安装路径
–tmp-path=TMPPATH 远程临时文件目录的绝对路径
2.1 Windows registry access:Windows 注册表访
问
这些选项可以被用来访问后端数据库管理系统 Windows 注册表。
–reg-read 读取一个 Windows 注册表项值
–reg-add 写入一个 Windows 注册表项值数据
–reg-del 删除 Windows 注册表键值
–reg-key=REGKEY Windows 注册表键
–reg-value=REGVAL Windows 注册表键值
–reg-data=REGDATA Windows 注册表键值数据
–reg-type=REGTYPE Windows 注册表项值类型
2.2 General:一般选项
这些选项可以用来设置一些一般的工作参数
-s SESSIONFILE 从保存的.sqlite 文件中恢复会话
-t TRAFFICFILE 记录所有 HTTP 流量到一个文本文件中
–batch 使用所有默认配置，从不询问用户输入
–binary-fields=.. Result fields having binary values (e.g. “digest”
)
–check-internet Check Internet connection before assessing t
he target
–crawl=CRAWLDEPTH 从目标 URL 爬取网站
–crawl-exclude=.. 从爬取页中排除正则表达式 (e.g. “logout”)
–csv-del=CSVDEL CSV 输出中使用的分割字符 (default “,”)
–charset=CHARSET 强制字符编码 (e.g. “0123456789abcdef”)
–dump-format=DU.. 转储的数据格式(CSV (default), HTML or SQL
ITE)
–encoding=ENCOD.. 指定用于数据检索的字符编码(如：GBK)
–eta 显示每个输出的预计到达时间
–flush-session 刷新当前目标的会话文件
–forms 解析和测试目标 URL 表单
–fresh-queries 忽略存储在会话文件中的查询结果
–har=HARFILE 将所有 HTTP 流量记录到 HAR 文件中
–hex 使用 DBMS 十六进制功能进行数据检索
–output-dir=OUT.. 自定义输出目录路径
–parse-errors 解析并显示响应 DBMS 错误消息
–save=SAVECONFIG 将选项保存到 INI 配置文件
–scope=SCOPE 使用正则表达式从提供的代理日志中筛选目标
–test-filter=TE.. 选择测试的有效载荷和/或标题(e.g. ROW)
–test-skip=TEST.. 跳过试验载荷和/或标题(e.g. BENCHMARK)
–update 更新（升级）sqlmap
2.3 Miscellaneous:其他
-z MNEMONICS 使用短记忆法 (e.g. “flu,bat,ban,tec=EU”)
–alert=ALERT 发现 SQL 注入时，运行主机操作系统命令
–answers=ANSWERS 设置问题答案（用于 sqlmap 提示输入的情形）
(e.g. “quit=N,follow=N”)
–beep 发现 sql 注入时，发出蜂鸣声
–cleanup 清除 sqlmap 注入时在 DBMS 中产生的 udf 与表
–dependencies Check for missing (non-core) sqlmap depen
dencies
–disable-coloring 禁掉彩色输出。
–gpage=GOOGLEPAGE 使用 Google dork 结果进行注入测试
–identify-waf 进行 WAF/IPS/IDS 保护测试。
–mobile 设定一个手机的 User-Agent 来模仿手机登陆
–offline 使用离线模式(仅使用 session 数据)
–purge-output 从输出目录安全删除所有内容
–skip-waf 跳过 WAF/IPS/IDS 启发式检测保护
–smart 进行积极的启发式测试，快速判断为注入的报错点
进行注入
–sqlmap-shell 提示一个交互式的 sqlmap shell
–tmp-dir=TMPDIR 用于存储临时文件的本地目录
–web-root=WEBROOT Web 服务器文档根目录 (e.g. “/var/www”)
–wizard 简单的向导界面。适用于新手。
sqlmap灵活多变
1、基于布尔的盲注，即可以根据返回页面判断条件真假的注入
2、基于时间的盲注，即不能根据页面返回内容判断任何信息，用条
件语句查看时间延迟语句是否执行（即页面返回时间是否增加）来判
断。
3、基于报错注入，即页面会返回错误信息，或者把注入的语句的结
果直接返回在页面中。
4、联合查询注入，可以使用 union 的情况下的注入。
5、堆查询注入，可以同时执行多条语句的执行时的注入。
此外，sqlmap 也支持多种数据库：
MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access,
IBM DB2, SQLite, Firebird, Sybase 和 SAP MaxDB.
sqlmap命令详细讲解
?? –is-dba 当前用户权限（是否为 root 权限）
?? –dbs 所有数据库
?? –current-db 网站当前数据库
?? –users 所有数据库用户
?? –current-user 当前数据库用户
?? –random-agent 构造随机 user-agent
?? –passwords 数据库密码
?? –proxy http://local:8080 –threads 10 (可以自定义线程加速) 代理
?? –time-sec=TIMESEC DBMS 响应的延迟时间（默认为 5 秒）
Options（选项）：
?? –version 显示程序的版本号并退出
?? -h, –help 显示此帮助消息并退出
?? -v VERBOSE 详细级别：0-6（默认为 1）
?? 保存进度继续跑：
sqlmap -u “http://url/news?id=1“ –dbs-o “sqlmap.log” 保存进
度
sqlmap -u “http://url/news?id=1“ –dbs-o “sqlmap.log” –resume 恢
复已保存进度
Target（目标）：
以下至少需要设置其中一个选项，设置目标 URL。
?? -d DIRECT 直接连接到数据库。
?? -u URL, –url=URL 目标 URL。
?? -l LIST 从 Burp 或 WebScarab 代理的日志中解析目标。
?? -r REQUESTFILE 从一个文件中载入 HTTP 请求。
?? -g GOOGLEDORK 处理 Google dork 的结果作为目标 URL。
?? -c CONFIGFILE 从 INI 配置文件中加载选项。
Request（请求）：
这些选项可以用来指定如何连接到目标 URL。
?? –data=DATA 通过 POST 发送的数据字符串
?? –cookie=COOKIE HTTP Cookie 头
?? –cookie-urlencode URL 编码生成的 cookie 注入
?? –drop-set-cookie 忽略响应的 Set – Cookie 头信息
?? –user-agent=AGENT 指定 HTTP User – Agent 头
?? –random-agent 使用随机选定的 HTTP User – Agent 头
?? –referer=REFERER 指定 HTTP Referer 头
?? –headers=HEADERS 换行分开，加入其他的 HTTP 头
?? –auth-type=ATYPE HTTP 身份验证类型（基本，摘要或 NTLM）(Basic,
Digest or NTLM)
?? –auth-cred=ACRED HTTP 身份验证凭据（用户名:密码）
?? –auth-cert=ACERT HTTP 认证证书（key_file，cert_file）
?? –proxy=PROXY 使用 HTTP 代理连接到目标 URL
?? –proxy-cred=PCRED HTTP 代理身份验证凭据（用户名：密码）
?? –ignore-proxy 忽略系统默认的 HTTP 代理
?? –delay=DELAY 在每个 HTTP 请求之间的延迟时间，单位为秒
?? –timeout=TIMEOUT 等待连接超时的时间（默认为 30 秒）
?? –retries=RETRIES 连接超时后重新连接的时间（默认 3）
?? –scope=SCOPE 从所提供的代理日志中过滤器目标的正则表达式
?? –safe-freq=SAFREQ 两次访问之间测试请求，给出安全的 URL
Enumeration（枚举）：
这些选项可以用来列举后端数据库管理系统的信息、表中的结构
和数据。此外，您还可以运行您自己的 SQL 语句。
?? -b, –banner 检索数据库管理系统的标识
?? –current-user 检索数据库管理系统当前用户
?? –current-db 检索数据库管理系统当前数据库
?? –is-dba 检测 DBMS 当前用户是否 DBA
?? –users 枚举数据库管理系统用户
?? –passwords 枚举数据库管理系统用户密码哈希
?? –privileges 枚举数据库管理系统用户的权限
?? –roles 枚举数据库管理系统用户的角色
?? –dbs 枚举数据库管理系统数据库
?? -D DBname 要进行枚举的指定数据库名
?? -T TBLname 要进行枚举的指定数据库表（如：-T tablename –
columns）
?? –tables 枚举的 DBMS 数据库中的表
?? –columns 枚举 DBMS 数据库表列
?? –dump 转储数据库管理系统的数据库中的表项
?? –dump-all 转储所有的 DBMS 数据库表中的条目
?? –search 搜索列（S），表（S）和/或数据库名称（S）
?? -C COL 要进行枚举的数据库列
?? -U USER 用来进行枚举的数据库用户
?? –exclude-sysdbs 枚举表时排除系统数据库
?? –start=LIMITSTART 第一个查询输出进入检索
?? –stop=LIMITSTOP 最后查询的输出进入检索
?? –first=FIRSTCHAR 第一个查询输出字的字符检索
?? –last=LASTCHAR 最后查询的输出字字符检索
?? –sql-query=QUERY 要执行的 SQL 语句
?? –sql-shell 提示交互式 SQL 的 shell
Optimization（优化）：
这些选项可用于优化 SqlMap 的性能。
?? -o 开启所有优化开关
?? –predict-output 预测常见的查询输出
?? –keep-alive 使用持久的 HTTP（S）连接
?? –null-connection 从没有实际的 HTTP 响应体中检索页面长度
?? –threads=THREADS 最大的 HTTP（S）请求并发量（默认为 1）
Injection（注入）：
这些选项可以用来指定测试哪些参数， 提供自定义的注入
payloads 和可选篡改脚本。
?? -p TESTPARAMETER 可测试的参数（S）
?? –dbms=DBMS 强制后端的 DBMS 为此值
?? –os=OS 强制后端的 DBMS 操作系统为这个值
?? –prefix=PREFIX 注入 payload 字符串前缀
?? –suffix=SUFFIX 注入 payload 字符串后缀
?? –tamper=TAMPER 使用给定的脚本（S）篡改注入数据
Detection（检测）：
这些选项可以用来指定在SQL盲注时如何解析和比较HTTP响应
页面的内容。
?? –level=LEVEL 执行测试的等级（1-5，默认为 1）
?? –risk=RISK 执行测试的风险（0-3，默认为 1）
?? –string=STRING 查询时有效时在页面匹配字符串
?? –regexp=REGEXP 查询时有效时在页面匹配正则表达式
?? –text-only 仅基于在文本内容比较网页
Techniques（技巧）：
这些选项可用于调整具体的 SQL 注入测试。
?? –technique=TECH SQL 注入技术测试（默认 BEUST）
?? –time-sec=TIMESEC DBMS 响应的延迟时间（默认为 5 秒）
?? –union-cols=UCOLS 定列范围用于测试 UNION 查询注入
?? –union-char=UCHAR 用于暴力猜解列数的字符
Fingerprint（指纹）：
?? -f, –fingerprint 执行检查广泛的 DBMS 版本指纹
使用命令比较多，这里就不一一讲解了，想深度了解请看【sqlmap黑魔法】这本书，该书讲比较透彻详细，还有各种命令做实战，包括每个系统安装sqlmap都将比较全面。
