SQLMAP - 将JSON数据发布为正文

嗨我正在尝试在登录表单中执行SQL注入。SQLMAP - 将JSON数据发布为正文

随着BurpSuite我拦截该请求：

POST /xxxx/web/Login HTTP/1.1 
Host: 10.0.0.70:42020 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.11; rv:49.0) Gecko/20100101 Firefox/49.0 
Accept: application/json, text/plain, */* 
Accept-Language: it-IT,it;q=0.8,en-US;q=0.5,en;q=0.3 
Accept-Encoding: gzip, deflate 
Content-Type: application/json 
Referer: http://xxxxxx.com/xxxxxx/ 
Content-Length: 44 
origin: http://xxxxx.com 
Connection: close 

{"username”:"user",”password”:"pass"}

使用：

sqlmap -u requestFile

（其中requestFile与打嗝所截获的请求的内容）

的SqlMap找不到可注射的字段即密码。

我敢肯定，这就是它的可注射的原因，如果因为密码我输入：

' OR 1=1; -- -

我可以与每一个用户名登录我插入

也试图与：

{"username”:*,”password”:*}

但没有运气。

我在做什么错了？

来源

2016-11-16 ronIDX

这个问题可能会更适合http://security.stackexchange.com/但它是怎样的一个中景我没有投票关闭的这里。尽管如此，你可能会得到更多的答案。 –

还发布在[security.stackexchange.com]（http://security.stackexchange.com/） – ronIDX

的SqlMap -u URL

的SqlMap -r requestFile

来源

2017-03-20 16:01:54 Txomin

欢迎使用StackOverflow。这个答案应该通过添加一个关于代码项目正在做什么的描述来改进，或者解释为什么这个解决方案能够工作。 – Steven

是的，我错误地使用了-u而不是-f。谢谢！ – ronIDX

Ops我写错了，那是-r不是-f – ronIDX

SQLMAP - 将JSON数据发布为正文

回答

相关问题