sqlmap post注入怎么获取注入的参数

嘿，你为什么要问 SQLMap 的详细信息？让我告诉你。

我们来谈谈POST注入。
您提到的两种方法是否正确？上次我在 2 02 3 年在实验室环境中测试它时，我必须使用 --data 参数并手动构造类似于 GET 的 POST 数据，但我必须意识到 Content-Type 标头必须正确设置。
例如，如果你想测试一个登录界面，你必须自己编写 JSON 或表单数据，如 {"username": "admin", "password": "admin' -
}。
但是，虽然使用 Burp Suite 抓包并查看负载非常方便，但稍后你会发现使用 -v3 直接输出它们更容易、更便宜。

另外，-r 参数也给我留下了深刻的印象。
在北京的一次演习中， 2 02 3 年，我捕获了一个POST请求数据包，直接使用sqlmap -r request.txt。
但是，我发现-v3 可以直接看到某些参数，例如Payload：admin' AND 1 =1 -g参数，搜索功能非常好。
我在2 02 2 年测试了sqlmap -g google.com/search?q=site:example.com test.txt。
但你是对的。
还有--safe-url，可以访问http://example.com/index这样的常规页面，这是因为我去年在深圳做渗透的时候，遇到了很多伪静态的页面，直接用sqlmap就无法访问了，如果我把http://example.com/index.php这样的参数替换掉，就很麻烦了。
如果你想使用多个语句，你必须使用webshell，但如果你遇到可以做的事情，经验是最大的
对于--level参数，我通常将其设置为1 ，但在某些情况下，如果目标响应缓慢或者我想要更全面的测试，我从不使用3 ，记住这些参数并进行更多练习可以让你在遇到某些情况时灵活地使用它们。
情况。

sqlmap注入json sqlmappost注入

使用 --data 或 -r 进行 POST 注入。
JSON 使用 --data 进行格式化。
路径必须对齐。
您需要知道数据库的类型。
你自己掂量一下吧。

sqlmap的POST检测点方法（一）

POST检测步骤：
1 ． 准备环境。

使用sqli-lab搭建测试平台。

或者使用pentestbox Windows环境。

2 拦截POST数据。

将 BurpSuite 配置为代理。

访问目标网站提交POST请求。

在 BurpSuite 中将请求保存为 .log 文件。

3 运行sqlmap。

打开命令行并导航到 sqlmap 目录。

执行命令：sqlmap -l <​​日志文件路径>。

4 自动检测。

直接按 Enter 键即可选择默认选项。

sqlmap自动检测SQL注入漏洞。

5 防范措施。

必须有合法授权。

未经授权的测试是非法的。

测试仅供学习参考。

合法授权是先决条件。