sqlmap是实战我用过最顺手的自动化注入工具，没有之一。实战它能把一个需要手工折腾半小时的实战注入点，压缩成一条命令的实战事。但真正让我对它刮目相看的实战，是实战去年一次授权渗透测试。

目标是实战个老旧的政府网站，后台登录框明晃晃地摆在那。实战手工试了几个弱口令，实战全被拦了。实战同事说算了，实战换个目标。实战我不死心，实战把登录请求丢进Burp，实战翻到个叫id的实战参数，看起来是查新闻详情的。随手加了单引号，页面直接报错，数据库类型都吐出来了——MySQL 5.7。

这就好办了。掏出sqlmap，指定URL，加上--dbs参数，十几秒后数据库列表就出来了。说实话，看到information_schema旁边躺着个叫gov_news的库，我心跳都加速了。接着--tables，翻到admin_user表，--dump一把梭。密码是MD5加密的，丢到cmd5网站秒解，明文是Admin@123。整个过程不到五分钟，比我泡杯咖啡的时间还短。

但sqlmap不是万能药。有次碰到个WAF防护的站点，请求频率稍微快点就被封IP。sqlmap自带--tamper脚本，我试了space2comment、between这些基础混淆，全被识别。最后手动改了--delay参数，把请求间隔拉到3秒，再用--random-agent伪装浏览器，才勉强跑通。这工具聪明，但有时候你得比它更有耐心。

还有个容易踩的坑——POST注入。很多人以为sqlmap只能打GET，其实-r参数直接读取抓包文件就能搞定。把Burp里保存的请求文件丢过去，它会自动解析Cookie、User-Agent这些头信息。我习惯把整个请求包原样存下来，省得手动拼参数，出错率低很多。

用多了你会发现，sqlmap最值钱的功能不是跑数据，是--os-shell。遇到DBA权限的注入点，直接拿到服务器系统命令执行权限。上次测试一个教育平台，注入点恰好是root权限，我输入whoami，返回root，那一刻确实有点上头。但提醒各位，这功能动静太大，日志里全是痕迹，非授权环境千万别碰。

工具终究是工具，sqlmap跑得再快，也替代不了人对业务逻辑的判断。我见过有人拿它扫了一整天才发现目标站是静态页面，纯属浪费时间。真正高效的用法是：先用浏览器手工确认注入点存在，再让sqlmap去跑数据。它负责机械劳动，你负责思考下一步往哪走。

最后说个细节。--batch参数能跳过所有交互提示，全自动运行，适合挂机跑批量目标。但默认的--level和--risk都是1，很多深层次的注入测不出来。我习惯加上--level=3 --risk=2，虽然慢点，但覆盖全面。记住，工具是你手里的刀，刀快不快，还得看你怎么磨。

(责任编辑：热点)