Как использовать SQLMAP, когда в POST "{}"

[drivefordaddy]

Самый нубский вопрос, но как добавить пост параметры, например

{"Username":"abc","Password":"abc"}

в SQLMAP? Он у меня думает что это все один параметр, как ему сказать что тут 2 разных?

Спасибо за терпение и ответы)

 

[Antares]

Пожалуйста...

 

[c0d3x]

Самый нубский вопрос, но как добавить пост параметры, например

{"Username":"abc","Password":"abc"}

в SQLMAP? Он у меня думает что это все один параметр, как ему сказать что тут 2 разных?

Спасибо за терпение и ответы)

Это JSON, использовать просто. Перед каждой двойной кавычкой ставить обратный слэш \
По итогу у тебя дата должна выглядеть так:

{\"Username\":\"abc\",\"Password\":\"abc\"}

И например, если надо тестировать параметр Password, то к abc указать астериск *, и выглядеть это будет так:

{\"Username\":\"abc\",\"Password\":\"abc*\"}

Но юзать обратный слэш надо только в том случае, если ты юзаешь скульмап через флаг -u. Если же ты юзаешь через -r (это когда запрос скульмапу подается из файла), то слэши не нужны вообще. Например:

POST https://target.com/?login.php HTTP/1.1
Host: target.com

{"Username":"abc","Password":"abc*"}

В данном случае только пометить атериском уязвимый параметр и скульмап это переварит нормально.

 

[Acorn]

Это JSON, использовать просто. Перед каждой двойной кавычкой ставить обратный слэш \
По итогу у тебя дата должна выглядеть так:

{\"Username\":\"abc\",\"Password\":\"abc\"}

И например, если надо тестировать параметр Password, то к abc указать астериск *, и выглядеть это будет так:

{\"Username\":\"abc\",\"Password\":\"abc*\"}

Но юзать обратный слэш надо только в том случае, если ты юзаешь скульмап через флаг -u. Если же ты юзаешь через -r (это когда запрос скульмапу подается из файла), то слэши не нужны вообще. Например:

POST https://target.com/?login.php HTTP/1.1
Host: target.com

{"Username":"abc","Password":"abc*"}

В данном случае только пометить атериском уязвимый параметр и скульмап это переварит нормально.

Спасибо!
Как раз искал ответ, много параметров скопилось и не знал как запуститься

 

[jemslo]

This is the "-p" option of sqlmap

 

[hck]

Excelente