tanrong 2020-06-03
最近在做一个DVWA本地***测试的一个演练,其中遇到的一些问题做一个记录。
基础环境及相关软件 操作系统:WIN10专业版 WEB应用:PHPStudy 8.1.0.5 DVWA版本:DVWA-master(2020-05-01) BurpSuite:burpsuite_pro_v1.7.32 Sqlmap:sqlmapproject-sqlmap-1.4.6-0-g2d06543 Pythonp:ython-2.7.18.amd64
其中容易导致演练失败的地方有如下几点:
1.安装Python的版本不对,导致Sqlmap无法正常运行。 2.注意DVWA这里的安全级别要为低(LOW)
http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#
3.进行Sqlmap时使用地址localhost测试是不成功的,要用127.0.0.1。 4.如果使用网络接口地址访问DVWA,SQL Injection这里的安全级别是无法修改的,默认为impossible,导致SQLMAP测试失败。
5.由于需要验证登录,所以要加上cookie,不然会提示跳转登录页面。
6.SQLMAP中的URL地址没有带上引号也是会报错的。 完整的SQLMAP语句如下: sqlmap.py -u "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low; PHPSESSID=5ip1r16q8j6ikok93a4980u0ql" --dbs
正常执行完成后可以看到如下结果。
附上sqlmap执行语句。 sqlmap.py -u "http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie="security=low; PHPSESSID=5ip1r16q8j6ikok93a4980u0ql" --dbs