sqlmap
WebЧто это и зачем
sqlmap — инструмент автоматизации обнаружения и эксплуатации SQL-инъекций с открытым кодом. Поддерживает все основные СУБД (MySQL, PostgreSQL, Oracle, MS SQL, SQLite и другие), полный спектр техник: UNION-query, boolean-based, time-based blind, error-based, stacked queries, out-of-band.
Умеет обходить WAF тампер-скриптами, автоматически перечислять и дампить базы данных, читать файлы операционной системы и при благоприятных условиях получать командную оболочку. Стандартный инструмент пентестера при тестировании веб-приложений.
Умеет обходить WAF тампер-скриптами, автоматически перечислять и дампить базы данных, читать файлы операционной системы и при благоприятных условиях получать командную оболочку. Стандартный инструмент пентестера при тестировании веб-приложений.
Возможности
- 6 техник SQL-инъекций из коробки
- Все основные СУБД
- Обход WAF (tamper-скрипты)
- Дамп и восстановление БД
- Доступ к ФС и ОС через СУБД
Установка
$
git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git sqlmap-dev && cd sqlmap-devКогда применять
- Тестирование веб-приложений на SQLi
- Подтверждение находок сканеров
- Аудиты баз данных
- CTF
Обсуждение · 0
сначала полезные · скороВопросы по запуску, флагам и тонкостям использования — здесь, на странице инструмента. Темы-сравнения и траблшут выносите в форум.
Разборы с инструментомскоро
Связанные статьи-разборы появятся с ингестом контента.
Где востребованскоро
Вакансии, где ждут владение инструментом.
Альтернативы
mitmproxy
Скоро · в планах
Запуск без установки
Готовые окружения с инструментом в облачной лаборатории HackerLab.
Ещё по теме
4
СтатьяSQLMap пентест: от перехвата запроса до дампа базы данных
0
2 тыс.
25.07.2026
СтатьяSQL инъекция в 2025: техники эксплуатации, обход WAF и автоматизация с sqlmap
0
3 тыс.
21.04.2026
СтатьяCVE-2026-9082: SQL-инъекция в Drupal Core - от PoC до RCE на PostgreSQL
0
1 тыс.
19.08.2026
СтатьяCVE-2026-46624: SQLi->RCE в Twenty CRM через COPY TO PROGRAM
0
1 тыс.
17.09.2026