sqlmap升级

sqlmap 的升级升级动作永远比漏洞公告慢半拍。我上周在测试一个遗留系统时，升级payload 被 WAF 拦得死死的升级，翻了半天 sqlmap 的升级 issue 区，才发现官方早就把 tamper 脚本重写了——只是升级我本地还是 1.6 版本，压根没同步。升级

升级这事，升级最坑的升级不是敲命令，而是升级你根本不知道旧版和新版之间隔了多少个“不兼容”。比如 1.5 到 1.6，升级默认的升级 user-agent 从随机字符串变成了带版本号的固定格式，很多老检测规则直接失效。升级我见过有人拿 1.4 跑新目标，升级跑了三小时全是升级 false negative，最后升级到 1.7 才秒出结果。升级别问为什么，问就是官方在 changelog 里写了一句“改进 HTTP 指纹识别逻辑”，实际改动量够写一篇硕士论文。

具体操作倒是简单。Linux 下直接 git pull 拉最新源码，前提是你当初是用 git clone 装的。要是 pip 装的，pip install --upgrade sqlmap 就行。但有个坑：sqlmap 的 pip 包更新频率比 GitHub 慢，有时候你 pip 装完发现还是旧版。我建议直接删掉 pip 版本，改用源码运行——反正它就是个 Python 脚本，python sqlmap.py 跑起来完全一样。

Windows 用户更省事，去 GitHub releases 页面下载 zip 包解压替换就完事。注意别覆盖你自定义的 conf/ 目录，里面可能有你调试半天的代理配置。别问我怎么知道的，我上次升级手一抖把整个目录删了，重新配了四十分钟的 SOCKS5 隧道。

升级后最直观的变化是新增的 --dns-domain 参数。以前想用 DNS 外带数据，得自己搭域名服务器，现在直接指定一个可控域名，sqlmap 自动生成子域并监听解析记录。我拿它测了个内网目标，比传统 HTTP 通道快三倍，而且流量里完全看不到 SQL 注入的痕迹。

还有个细节值得留意。新版对 Python 3.12 的支持修了一堆兼容性问题，如果你系统刚升级过 Python，老版本 sqlmap 大概率会报 AttributeError: module 'http.cookiejar' has no attribute 'split_header_words' 之类的错。这不是你代码写错了，纯粹是版本太老。

最后说个反直觉的观察：sqlmap 升级频率并不高，但每次升级都值得跟。因为安全工具不像普通软件——它对抗的是不断变化的防御手段。WAF 规则库每周更新，sqlmap 的绕过技巧如果不跟着变，三个月后就成摆设了。我见过有人守着 2022 年的版本当宝，结果遇到个 2024 年新出的参数污染过滤规则，直接傻眼。

升级完记得跑一遍自带的测试套件：python sqlmap.py --test。这玩意能自动检测你本地环境是否支持全部功能，比你自己瞎试靠谱得多。