bash: --dbs 命令未找到及其他

Question

我正在对我目前正在建设的一个网站（一个学校项目）进行一些渗透测试

我正在努力确保它的安全性处于最佳状态。

（是的，我确实有正确的参数，并且该站点容易受到 SQLi 注入的攻击。

它确实继续扫描，但它会询问 [y/n]，我选择 [y]，它只是停止并且不扫描。我试过重新克隆 sqlmap 但没有成功。

如有任何帮助，我们将不胜感激。

root@kali:~# sqlmap -u http://myschoolproject.com/ --dbs
[1] 1372
bash: --dbs: command not found

(It will scan until asked a [y/n])



it looks like the back-end DBMS is 'MySQL'. Do you want to skip test payloads specific for other DBMSes? [Y/n] y

[1]+  Stopped sqlmap -u http://myschoolproject.com/

Answer 1

听起来你里面有一个 &。在 bash 中，foo & bar 在后台运行命令 foo，在前台运行命令 bar。

因此，如果您的 URL 实际上看起来像 http://myschoolproject.com/index.php?cat=4&attr=95,76，则该命令将被解释为

sqlmap -u http://myschoolproject.com/index.php?cat=4 &
attr=95,76 --dbs

第一个命令在后台运行 sqlmap（带有截断的 URL）；这解释了 [1] 1372 部分（这就是 bash 显示然后启动后台进程的内容）。第二个命令在前台运行--dbs（在环境中attr设置为95,76）；这解释了 bash: --dbs: command not found 错误。

无论如何，解决方案是用单引号引用URL：

sqlmap -u 'http://myschoolproject.com/index.php?cat=4&attr=95,76' --dbs

bash: --dbs 命令未找到及其他

bash: --dbs command not found & others

bash

sqlmap