安全工具推荐之sqlmap tamper&sqlmap api

　　我发现总有一些人喜欢问sqlmap的tamper脚本，问完工具问参数，问完参数问脚本......　　

你这个问题问的水平就很艺术，让我一时不知从何说起......

说一下在sqlmap的使用过程中，个人了解的一些用法及扩展用法

鉴于此工具功能点实在太多，可讲的东西也太多，甚至有专门的那么厚一大本书讲sqlmap的（《sqlmap从入门到入......》哦不是，《sqlmap从入门到精通》）。本文只能选择一些我认为比较有趣的地方进行知识点的一个复述，没提到的内容请参考其他师傅们的文章

还是那句话，本文主观性的观点仅代表我个人

0x01 准备

俗话说：磨刀不误砍柴工

那就让我们愉快地开始吧~~~

sqlmap，好不好用，地球人都知道

下载链接官网: http://sqlmap.org/

GitHub : https://github.com/sqlmapproject/sqlmap

官网访问很慢，可用GitHub上的并采用加速下载

（顺便推荐一个加速下载的办法--------------------------------码云 

https://gitee.com/

用这个，注册一个号，从GitHub中导入仓库，把仓库的URL粘贴到相应位置，点击导入，然后下载压缩文件即可，速度还行）

sqlmap运行需要python环境，老版本的sqlmap不支持太高版本的python

当然目前版本的sqlmap是支持我主机上python3.8.0 的环境的（经过测试python3.9.0也支持）

这有个安装教程，不说了：

https://www.cnblogs.com/lauren1003/p/6131172.html

 0x02 tamper

关于sqlmap的具体参数用法，如果一个个列举，能讲到地老天荒

 https://github.com/sqlmapproject/sqlmap/wiki/Usage

自己看吧

 至于使用方面，这位师傅（https://www.freebuf.com/news/196755.html）总结得不错，非常nice，特意列举出来供大家参考

经验总结

sqlmap实操语句

 这篇文章着重说一下tamper脚本，上文这位师傅的文章中也提到了很多tamper脚本

 先列举一下，sqlmap这些自带的tamper脚本都是干啥的(截止至本文发表日期，当前sqlmap版本是1.5.1.28，可能存在一些脚本与老版本有出入，不过不影响)

 --tamper  脚本名      用于使用脚本

 --list-tampers可以查看有哪些自带的脚本

* 0eunion.py-将<int> UNION的实例替换为<int> e0UNION
* apostrophemask.py-用其UTF-8全角字符替换撇号（'）（例如'->％EF％BC％87）
* apostrophenullencode.py-用非法的双unicode替换撇号（'）（例如'->％00％27）
* appendnullbyte.py-在有效负载末尾附加（访问）NULL字节字符（％00）
* base64encode.py-Base64编码给定有效负载中的所有字符
* between.py-用'NOT BETWEEN 0 AND＃'替换大于运算符（'>'）并用'BETWEEN＃AND＃'等于运算符（'='）
* binary.py-在可能的情况下注入关键字binary
* bluecoat.py-用有效的随机空白字符替换SQL语句后的空格字符。然后用运算符LIKE替换字符'='
* chardoubleencode.py-双重URL编码给定有效负载中的所有字符（未处理已编码）（例如SELECT->％2553％2545％254C％2545％2543％2554）
* charencode.py-对给定有效负载中的所有字符进行URL编码（未经处理已编码）（例如SELECT->％53％45％4C％45％43％54）
* charunicodeencode.py-Unicode URL编码给定有效负载中的所有字符（不处理已编码的字符）（例如SELECT->％u0053％u0045％u004C％u0045％u0043％u0054）
* charunicodeescape.py-给定有效载荷中的Unicode转义未编码字符（不处理已编码的字符）（例如SELECT-> \ u0053 \ u0045 \ u004C \ u0045 \ u0043 \ u0054）
* commalesslimit.py-用对应的“ LIMIT N OFFSET M”替换（MySQL）实例，例如“ LIMIT M，N”
* commalessmid.py-用'MID（A FROM B FOR C）'替代（MySQL）实例，例如'MID（A，B，C）'
* commentbeforeparentheses.py-在括号前加上（内联）注释（例如（（-> / ** /（）
* concat2concatws.py-用对应的'CONCAT_WS（MID（CHAR（0），0，0），A，B）'替换（MySQL）实例，例如'CONCAT（A，B）'
* dunion.py-将<int> UNION的实例替换为<int> DUNION
* equaltolike.py-用'LIKE'counterpart替换所有出现的等于（'='）运算符
* equaltorlike.py-用'RLIKE'对应项替换所有出现的等于（'='）运算符
* escapequotes.py-斜杠转义单引号和双引号（例如'-> \'）
* great.py-用对应的'GREATEST'替换大于运算符（'>'）
* halfversionedmorekeywords.py-在每个关键字之前添加（MySQL）版本注释
* hex2char.py-用等效的CONCAT（CHAR（），...）替换每个（MySQL）0x <hex>编码的字符串
* htmlencode.py-HTML编码（使用代码点）所有非字母数字字符（例如'->＆＃39;）
* ifnull2casewhenisnull.py-将实例“ IFNULL（A，B）”替换为“ CASE WHEN ISNULL（A）THEN（B）ELSE（A）END”
* ifnull2ifisnull.py-将实例“ IFNULL（A，B）”替换为“ IF（ISNULL（A），B，A）”
* informationschemacomment.py-在所有出现的（MySQL）“ information_schema”标识符的末尾添加一个内嵌注释（/ ** /）
* minimum.py-用'LEAST'对应替换大于运算符（'>'）
* lowercase.py-用小写字母值替换每个关键字字符（例如SELECT-> select）
* luanginx.py-LUA-Nginx WAF绕过（例如Cloudflare）
* misunion.py-用-.1UNION替换UNION的实例
* modsecurityversioned.py-包含（MySQL）版本注释的完整查询
* modsecurityzeroversioned.py-包含（MySQL）零版本注释的完整查询
* multiplespaces.py-在SQL关键字周围添加多个空格（''）
* overlongutf8.py-将给定有效负载中的所有（非字母数字）字符转换为超长UTF8（不处理已编码的字符）（例如'->％C0％A7）
* overlongutf8more.py-将给定有效负载中的所有字符转换为超长UTF8（未处理已编码）（例如SELECT->％C1％93％C1％85％C1％8C％C1％85％C1％83％C1％94 ）
* percent.py-在每个字符前面添加一个百分号（'％'）（例如SELECT->％S％E％L％E％C％T）
* plus2concat.py-用（MsSQL）函数CONCAT（）对应项替换加号运算符（'+'）
* plus2fnconcat.py-用（MsSQL）ODBC函数{fn CONCAT（）}替换正运算符（'+'）
* randomcase.py-用随机大小写值替换每个关键字字符（例如SELECT-> SEleCt）
* randomcomments.py-在SQL关键字内添加随机内联注释（例如SELECT-> S / ** / E / ** / LECT）
* schemasplit.py-使用空格（例如'testdb 9.e.users'）分割模式标识符（例如'testdb.users'）
* sleep2getlock.py-用“例如：GET_LOCK（'ETgP'，5）”替换“ SLEEP（5）”之类的实例
* sp_password.py-将（MsSQL）函数'sp_password'附加到有效负载的末尾，以便从DBMS日志中自动进行混淆
* space2comment.py-用注释'/ ** /'替换空格字符（''）
* space2dash.py-用破折号（'-'）替换空格字符（''），后跟随机字符串和换行（'\ n'）
* space2hash.py-将（MySQL）空格字符（''）的实例替换为井号（'＃'），后跟随机字符串和换行（'\ n'）
* space2morecomment.py-用注释'/ ** _ ** /'替换（MySQL）空格字符（''）的实例
* space2morehash.py-将（MySQL）空格字符（''）的实例替换为井号（'＃'），后跟随机字符串和换行（'\ n'）
* space2mssqlblank.py-用有效的备用字符集中的随机空白字符替换空格字符（''）的（MsSQL）实例
* space2mssqlhash.py-用井号（'＃'）替换空格字符（''），后跟换行（'\ n'）
* space2mysqlblank.py-用有效的备用字符集中的随机空白字符替换（MySQL）空格字符（''）实例
* space2mysqldash.py-用短划线注释（'-'）替换空格字符（''），后跟换行（'\ n'）
* space2plus.py-用加号（'+'）替换空格字符（''）
* space2randomblank.py-用有效的备用字符集中的随机空白字符替换空格字符（''）
* substring2leftright.py-用LEFT和RIGHT替换PostgreSQL SUBSTRING
* symbolicologic.py-将AND和OR逻辑运算符替换为其对应的符号（&&和||）
* unionalltounion.py-用UNION SELECTcounterpart替换UNION ALL SELECT的实例
* unmagicquotes.py-将引号（'）替换为多字节组合％BF％27，并在末尾添加通用注释（以使其起作用）
* uppercase.py-用大写字母值替换每个关键字字符（例如select-> SELECT）
* varnish.py-附加HTTP标头“ X-originating-IP”以绕过Varnish防火墙
* versionedkeywords.py-用（MySQL）版本注释将每个非功能关键字括起来
* versionedmorekeywords.py-每个关键字都包含（MySQL）版本注释
* xforwardedfor.py-附加一个伪造的HTTP标头'X-Forwarded-For'（等等）

由于sqlmap支持多种数据库，这些脚本也是支持多种数据库的，有些是全部支持，有些只支持某类数据库的某版本

 如果不太确定，可以打开脚本文件，查看功能、针对数据库、备注之类的信息，没有列举的版本有待测试

首先明确一个问题，为什么需要tamper脚本？

主要目的还是为了混淆绕过WAF以便进行SQL注入

既然有这么多单一功能的tamper（不乏有些脚本内容十分单薄，短短几行），就必然有针对某某WAF的相对复杂一点tamper（针对WAF防护特点，自写的脚本）

列举几个比较常见的tamper脚本

参考这篇文章： https://www.cnblogs.com/mark0/p/12349551.html

这些自带的脚本能用得上最好了，用不上或者有其他需求需要自己写或者基于现有的tamper脚本改造

思路大体是需要测试当前WAF的拦截机制，找到bypass规律，写脚本或者改脚本，应用到sqlmap中，一把梭或者留着以后批量，GG

随便打开一个脚本，大致格式如下：　　

 这个lib.core来源于sqlmap；__priority__ 定义了脚本优先级（多个tamper脚本情况下有用）；dependencies()函数声明该脚本适用/不适用的范围，可以为空；tamper是主要的函数，接受的参数为payload和**kwargs（不一定都用上），返回值为替换后的payload即retVal

 0x03 sqlmap api  

有些时候想接连检测多个站，又不想开好几个窗口，就可以选择使用sqlmapapi

 sqlmapapi分两种模式：基于HTTP协议的接口模式与基于命令行的接口模式

先说基于命令行的接口模式

它分客户端与服务端的

 既然分服务端和客户端，就有-H -p参数使用的必要性

如果是客户端服务端在不同机器上，则有：

客户端--》python sqlmapapi.py -c -H "服务端IP" -p 8775

服务端--》python sqlmapapi.py -s -H "0.0.0.0" -p 8775

如果是客户端服务端在同一机器上，则有：

客户端--》python sqlmapapi.py -c

服务端--》python sqlmapapi.py -s

 api下，help可见接口命令

然后就可以按照命令进行操作了

new -u "url"

状态显示正在扫描，扫描完了会有terminated提示

 data看一下，如果"data":[]中不为空，说明存在注入，我这个就是显示没有的，啊这。。。

其他模式的注入思路同正常sqlmap的使用方法

new -r data.txt

再说基于HTTP协议的接口模式

至于这种方法，可以结合python代码利用（运行代码的时候别忘了开服务端哈，不开接口是用不了滴）

列举一些常见的接口（不是全部）：

#辅助
@get('/error/401') 表明首先需要登录（Admin token），不然会返回状态码401   
@get("/task/new")创建一个新的任务，使用后会返回一个随机的taskid
@get("/task/<taskid>/delete")删除taskid

#Admin 命令
@get("/admin/list")返回所有taskid
@get("/admin/flush")删除所有任务
#sqlmap 核心交互命令
@get("/option/<taskid>/list")获取特定任务ID的列表选项
@post("/option/<taskid>/get")获取特定任务ID的选项值
@post("/option/<taskid>/set")为特定任务ID设置选项值
@post("/scan/<taskid>/start")定义开始扫描特定任务
@get("/scan/<taskid>/stop")定义停止扫描特定任务
@get("/scan/<taskid>/kill")杀死特定任务
@get("/scan/<taskid>/status")查询扫描状态
@get("/scan/<taskid>/data")获得到扫描结果
@get("/scan/<taskid>/log")查询特定任务的扫描的日志

关于利用过程，以代码说明

import requests
import json
import time

def sqlmapapi(url):
    headers = {
        'Content-Type': 'application/json'
    }
    scan_url={
        'url':url
    }
    scan_task_url='http://127.0.0.1:8775/task/new' 　　
    scan_task=requests.get(scan_task_url)
    #print(scan_task.json())
    scan_task_id=scan_task.json()['taskid']
    #print(scan_task_id)
    if 'success' in scan_task.content.decode('utf-8'):
        print('sqlmapapi task create success...')
        scan_task_set_url = 'http://127.0.0.1:8775/option/' + scan_task_id + '/set'
        scan_task_set = requests.post(scan_task_set_url,data=json.dumps(scan_url),headers=headers)
        #print(scan_url)
        #print(scan_task_set.content.decode('utf-8'))
        if 'success' in scan_task_set.content.decode('utf-8'):
            print('sqlmapapi taskid set success')
            scan_start_url='http://127.0.0.1:8775/scan/'+scan_task_id+'/start'
            scan_start=requests.post(scan_start_url,data=json.dumps(scan_url),headers=headers)
            #print(scan_start.content.decode('utf-8'))
            if 'success' in scan_start.content.decode('utf-8'):
                print('sqlmapapi scan start success')
                while 1:
                    scan_status_url = 'http://127.0.0.1:8775/scan/' + scan_task_id + '/status'
                    scan_status = requests.get(scan_status_url)
                    #print(scan_status.content.decode('utf-8'))
                    if 'running' in scan_status.content.decode('utf-8'):
                        print(url + '->the scan is running')
                        pass
                    else:
                        print('sqlmapapi scan end')
                        scan_data_url='http://127.0.0.1:8775/scan/' + scan_task_id + '/data'
                        scan_data=requests.get(scan_data_url).content.decode('utf-8')
                        with open(r'scan_result.txt','a+') as f:
                            f.write(url+'\n')
                            f.write(scan_data+'\n')
                            f.write('==========python sqlmapapi=========='+'\n')
                            f.close()
                        #print('delete taskid')
                        scan_deltask_url = 'http://127.0.0.1:8775/task/' + scan_task_id + '/delete'
                        scan_deltask=requests.get(scan_deltask_url)
                        if 'success' in scan_deltask.content.decode('utf-8'):
                            print('delete taskid success')
                        break
                    time.sleep(3)


if __name__ == '__main__':
    print("url check finished.....")
    for url in open('url.txt'):
        url=url.replace('\n','')
        sqlmapapi(url)

把要扫描的URL放进url.txt文件中，扫描完成后结果写在scan_result.txt文件中

代码整体思路是：创建一个新任务（task/new），为特定任务ID设置选项值（set），开始扫描特定任务（start），获得到扫描结果（data），完事后删除taskid（delete），很清晰

 这个例子是get注入，post注入的话，可在scan_url中多加一个data字段；同理什么cookie注入、referer注入也是在调用start接口的时候导入到过程中加进去cookie、referer字段，具体怎么加就随意了，加进去就好，随便写写

 参考文章：https://www.freebuf.com/articles/web/204875.html

 未经允许，禁止转载