首先我们需要在burpsuite的 扩展-选项 里配置两个路径:
第一个路径为 jython-standalone-2.7.3.jar 的路径
这个jar文件我们需要自己下载,下载地址:https://www.jython.org/
点击 download
点击 Jython Standalone
下载好之后将这个jar文件放到某个位置(我是直接拉到了burpsuite位置),然后导入该路径。
第二个路径为你自己Python环境的路径,需要写到lib文件夹
同样在第二个选项框导入该路径
导入成功后如下图所示
此时来到 APP store
找到 sqlipy sqlmap integration
点击安装
安装成功后会多出一个sqlipy的框
我们需要配置正确的端口号
首先我们先安装sqlipy
(SQLiPy is a Python plugin for Burp Suite that integrates SQLMap using the SQLMap API.)
下载地址:https://github.com/portswigger/sqli-py
下载好后解压,里面还有一个sqlmap的压缩包,一并解压
解压sqlmap的压缩包后里面有一个sqlmapapi.py的文件
我们在该路径下打开cmd
执行命令
python sqlmapapi.py
回车
找到默认端口号:8775
在burpsuite的sqlipy框进行配置
设置端口号为8775,之后点击 start api
看到红色字体变为绿色,表示我们配置成功
接下来我们使用DVWA靶场验证一下
补充:
DVWA默认的用户有5个,用户名及密码如下
admin/password
gordonb/abc123
1337/charley
pablo/letmein
smithy/password
随便使用一个账户登录即可
来到 SQL injection
关于使用物理机的burpsuite拦截虚拟机浏览器的请求包可参考我之前的博客(虚拟机代理配置):http://t.csdnimg.cn/qFeEj
随便提交一个请求
使用burpsuite抓到后发到 sqlipy scan
点击 start scan
此时切换到 sqlmap logs
点击 get
即可看到sqlmap的扫描过程
可以通过不断的点击get来刷新扫描结果,直到扫描完成
关于配置burpsuite与sqlmap联动的配置介绍至此结束