内容摘要：Windows下装sqlmap，最省事的路径是Python的pip。去sqlmap官网下zip包再配环境变量那种做法，我试过，路径里带空格就报错，折腾半天。直接pip install sqlmap，等

Windows下装sqlmap，使用最省事的教程路径是Python的pip。去sqlmap官网下zip包再配环境变量那种做法，使用我试过，教程路径里带空格就报错，使用折腾半天。教程直接pip install sqlmap，使用等它拉完依赖，教程命令行敲sqlmap --version能出版本号就算成了。使用前提是教程你机器上得有Python，3.8以上都行，使用装的教程时候记得勾Add to PATH，不然pip命令本身都找不到。使用

第一次跑sqlmap的教程人容易懵——它交互式提问太多。比如你只给一个URL，使用它会问“目标URL里带参数吗”“要不要测POST”“cookie填不填”。想跳过这些，用-u直接带参数，加--batch让它自己拿默认值往下走。我平时测自己搭的DVWA，命令长这样：

sqlmap -u "http://localhost/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit" --cookie="PHPSESSID=xxx; security=low" --batch

注意那个cookie，DVWA必须登录才能访问注入点，不传cookie sqlmap连页面都拿不到。--batch让它别老问我，默认选项一路跑。跑完它会告诉你参数id是不是可注入，用的什么类型——布尔盲注、时间盲注还是报错注入。

确认有注入之后，下一步通常是拿数据库名。--dbs这个参数直接列所有库。DVWA里一般就俩，information_schema和dvwa。想指定库看表，加-D dvwa --tables。表出来了，比如users，再-D dvwa -T users --columns看字段。最后一步拖数据：-D dvwa -T users -C user,password --dump。密码如果是MD5，sqlmap会问你要不要跑字典破解，选yes它自己调hashcat或者内置字典跑，跑不出来就只给哈希值。

有个坑得提：Windows下sqlmap默认的temp目录有时候写不进去，报“unable to create temporary file”。加--tmp-path=C:\sqlmap_tmp手动指一个可写目录就行。另外跑时间盲注的时候，Windows的cmd窗口容易卡住不动，其实它在等sleep，别急着Ctrl+C。我一般加-v 3看详细请求日志，能确认它到底在干嘛。

POST注入稍微麻烦点。用Burp抓包，把整个请求保存成txt文件，然后sqlmap -r request.txt --batch。sqlmap会自动解析里面的参数、cookie、header。如果请求里有多个参数，它挨个测。想指定只测某个参数，加-p username。我遇到过表单里有CSRF token的情况，token每次变，sqlmap测的时候token失效了，注入点根本访问不到。解决办法是用--csrf-token和--csrf-url让它自己刷新token，不过配置起来挺绕，不如直接手工把token固定住再测。

提速方面，--threads=10能开多线程，但别贪心，有些WAF会封IP。加--delay=0.5每次请求间隔半秒，稳一点。--random-agent换User-Agent，绕过基于UA的简单拦截。--tamper系列脚本才是重头戏，比如space2comment把空格换成注释，between替换大于小于号。我常用--tamper=space2comment,randomcase，对MySQL挺管用。

最后说个实际场景。有次帮朋友看一个ASP的老站，sqlmap跑半天报“all tested parameters do not appear to be injectable”。我手动加了个单引号，页面报500，说明有注入但被过滤了。换--tamper=charunicodeencode，针对ASP的Unicode编码绕过，再跑就出了。所以别一看到“not injectable”就放弃，换tamper、换注入技术（--technique=BEUST里挑），或者加--level=5 --risk=3提高测试深度，往往能挖出来。

sqlmap不是万能钥匙。它测不出来的不代表没漏洞，测出来的也不代表一定能拖到数据——权限不够、WAF拦截、网络不稳都会卡住。把它当个自动化辅助，别当黑盒按钮。