SQL MAP是一款测试系统是否有SQL漏洞的工具
下载地址：
http://sqlmap.org/
sqlmap 是一款使用python编写的工具，所以需要安装python,需要安装python 为 Python 2.7.15 的版本。
安装过程
1.安装python
2.解压sqlmap工具，增加path变量指向解压后目录。
具体使用方法
1.测试GET请求
sqlmap.py -u "测试的URL" --cookie="登陆后的COOKIE"
u:需要测试的URL
cookie: 这个是需要登录的情况才需要这个参数
2.上面的方式比较麻烦，使用请求文件 更简单。
sqlmap.py -r "请求文件"
这个请求文件，将http请求复制出来就可以了。
3.获取数据信息
获取数据库数据
3.1.查看数据库
sqlmap.py -r "请求文件" --dbs
3.2.扫描数据表
sqlmap.py -r "请求文件" --tables
3.3.导出数据
sqlmap.py -r "请求文件" --dump
sqlmap.py -r "请求文件" --dump-all
sqlmap.py -r "请求文件" --D 指定数据库 --dump
sqlmap.py -r "请求文件" -D 指定数据库 -T 表名 --dump
4.POST数据包注入
1.使用命令参数方式
sqlmap.py -u "URL地址" --cookie "请求cookie" --data="POST数据" --dbs --batch --smart
2.使用批量请求
请求模版文件模版如下：
====================================================
8:54:02 http://localhost:8008/jsaas/ [127.0.0.1]
====================================================
HTTP请求头信息
POST 数据
====================================================
请求实例数据
====================================================
8:54:02 http://localhost:8080/jsaas/ [127.0.0.1]
====================================================
POST /jsaas/bpm/core/bpmSolution/solutionList.do HTTP/1.1
Host: localhost:8080
Connection: keep-alive
Content-Length: 53
Accept: text/plain, */*; q=0.01
Origin: http://localhost:8080
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.100 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://localhost:8080/jsaas/bpm/core/bpmSolution/list.do?_t=901907&_winid=w7799
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: JSESSIONID=882192BF1591201629E63EB78CCDCB41; loginAction=; instType=PLATFORM; logInOutId=2610000000020001; enabled=false
pageIndex=0&pageSize=20&sortField=NAME_&sortOrder=asc
====================================================
测试命令：
sqlmap.py -l 请求文件 --batch --smart
