sql注入检测好工具sql地图

sql注入检测好工具sqlmap

在WooYun上面看到了有人用Sqlmap检测http链接是否存在sql注入，于是趁机学习了一把sqlmap，现把自己在学习中碰到的一些问题分享给大家。

转载请注明原文链接：http://blog.csdn.net/kaosini/article/details/8727653

Sqlmap简介

sqlmap 是一个自动SQL 射入工具。它是可胜任执行一个广泛的数据库管理系统后端指印, 检索遥远的DBMS 数据库, usernames, 桌, 专栏, 列举整个DBMS, 读了系统文件和利用导致SQL 射入弱点的网应用编程的安全漏洞。 

sqlmap下载地址：http://jjidc.jb51.net:81/201210/tools/sqlmap_jb51.rar

想要运行sqlmap，必须安装python环境 

Python环境安装及配置

Python 2.7.3 官方安装版(http://www.jb51.net/softs/2293.html)

默认情况下，在windows下安装python之后，系统并不会自动添加相应的环境变量。此时不能在命令行直接使用python命令。
1. 首先需要在系统中注册python环境变量：假设python的安装路径为c:\python2.6，则修改我的电脑->属性->高级->环境变量->系统变量中的PATH为:
(为了在命令行模式下运行Python命令，需要将python.exe所在的目录附加到PATH这个环境变量中。)
PATH=PATH;c:\python26
上述环境变量设置成功之后，就可以在命令行直接使用python命令。或执行"python *.py"运行python脚本了。
2. 此时，还是只能通过"python *.py"运行python脚本，若希望直接运行*.py，只需再修改另一个环境变量PATHEXT:

 PATHEXT=PATHEXT;.PY;.PYM

Sqlmap注意事项及用法

注意事项

2.sqlmap遇到url重写的时候怎么办？

在需要注入的参数后面，注入就加上 * 号
例：
sqlmap.py -u “http://www.expbug.com id1/1*/id2/2″
sqlmap.py -u "http://www.expbug.com/339*.html"

sqlmap.py -u "http://www.abc.com/a.aspx?name=abc"  --current-user --current-db

用法