SQLMAP自动注入-优化参数

优化性能

–predict-output

• 根据检测方法，对比返回值和统计表内容，不断缩小检测范围，提高检测效率

• 可以检测版本名、用户名、密码、Privileges、role、数据库名称、表名、列名

• 与–threads参数不兼容

• 统计表：/usr/share/sqlmap/txt/common-outputs.txt

–keep-alive

• 使用http（s）长连接，性能好

• 与–proxy兼容不兼容

• 长连接避免重复建立连接的网络开销，但大量长连接会严重占用服务器资源

–null-connection

• 只获取相应页面的大小值，而非页面具体内容

• 通常用于盲注判断 真 / 假，降低网络带宽消耗

• 与–text-only参数不兼容（基于页面内容的比较判断 真/假）

–threads

• 最大并发线程

• 盲注时每个线程获取一个字符（7次请求），获取完成后线程结束

• 默认值为1，建议不要超过10，否则可能影响站点可用性

• 与–predict-output参数不兼容

-o 开启上述三个性能参数（除–threads参数）