Задайте параметры с помощью SQLMAP

Я изучаю студент php & mysql development. У меня есть приватная лаборатория (VM) внутри моего компьютера для тестирования & узнать, как работает SQL-инъекция. Когда все усложняется, я использую sqlmap для использования, а затем изучая запросы, которые он сделал для моего тестового приложения, используя подробный режим & путем захвата пакетов через wirehark. Я столкнулся с небольшой проблемой, и это нужно указать параметр в URL-адресе sqlmap для тестирования.Задайте параметры с помощью SQLMAP

http://localhost/vuln/test.php?feature=music&song=1

я хочу sqlmap сканировать параметр песню так я пробовал эти решения

-u http://localhost/vuln/test.php?feature=music&song=1 --skip feature 
-u http://localhost/vuln/test.php? --data="feature=music&song=1" -p song

Пробовал разные варианты, добавляя и удаляя кавычки и знаки равенства, не работали. Я даже попробовал установить параметр --risk на уровень до максимума, но он все еще не может выбрать последний параметр.

Буду очень благодарен, если эксперт может помочь мне в этом. Спасибо.

источник

2013-03-27 DriverBoy

У меня есть эта проблема тоже. Я думаю, что sqlmap вводит первый параметр. Если вы наберете:

-u http://localhost/vuln/test.php?feature=music&song=1

sqlmap будет вводить параметр «функция». Для того, чтобы это вводить параметр «песня» необходимо реорганизовать параметр следующим образом:

-u http://localhost/vuln/test.php?song=1&feature=music

Не забудьте добавить «&» между каждым параметром. Это сработало для меня.

источник

2013-04-26 09:48:09 Yusufmm

вариант р можно использовать следующим образом

-u "http://localhost/vuln/test.php?feature=music&song=1" -p song

источник

2013-04-28 19:56:35

Также обратите внимание, что без кавычек команда работает неправильно. –

Вы можете просто добавить * к вашему значению параметра, который вы хотите просмотреть. Вы попробовали это?

источник

2013-11-17 13:45:35 CorpusCallosum

Можете ли вы привести пример? – damienfrancois

-u HTTP: //localhost/vuln/test.php функция = музыка и песня = 1 * если это вид запроса POST -u HTTP: //localhost/vuln/test.php --data =» feature = music & song = 1 * " – CorpusCallosum

Кстати, вам не нужно использовать вопросительный знак для sqlmapping POST-запросов. test.php достаточно. – CorpusCallosum

Я уже вызвал эту проблему. Вы можете просто пропустить параметр «feature». Например, -u http: // localhost/vuln/test.php? Feature = music & song = 1 --skip = feature, и тогда, конечно, он начнет тестирование параметра «song».

источник

2014-02-07 04:24:55

Я также заметил, что вы можете сканировать несколько параметров, с помощью этого:

-u "http://localhost/vuln/test.php?feature=music&song=1" -p 'song,feature'

Это будет сканировать параметр song, то параметр feature. Если sqlmap найти уязвимый параметр, он спросит вас, хотите ли вы продолжить работу с другими.

источник

2017-07-27 11:28:22 Sidahmed

Задайте параметры с помощью SQLMAP

ответ

Смежные вопросы