1、是授权测试吗
2、sqlmap跑的话，一定要注意，证明漏洞存在即可，千万别把所有库脱下来
5 个回答
这就是很有可能存在sql注入漏洞，但没授权最好不要直接使用工具进行测试。
在进行任何形式的渗透测试、安全测试、尤其是尝试SQL注入、弱口令等攻击性测试之前，最重要的一点是确保你有合法的权利和授权来进行这些操作。未经授权对网站或系统进行渗透测试是非法的，且可能给网站的正常运营带来严重影响，甚至可能导致法律后果。
关于你的问题，我将按授权和未授权两个情况来讨论：
如果你获得了授权：
先确保你有完整的测试授权书，明确列出了测试的范围、方法及任何特定禁止事项。
使用SQLmap等工具时，推荐设置适当的延时和请求限制，以减少对目标网站性能的影响。
挂代理的目的多是为了隐藏真实IP或绕过某些安全限制，如果是合法授权的测试，一般不需要特意隐藏来源；但如果按协议需要掩饰你的测试流量，或为了模拟真实攻击场景，使用代理或VPN是个不错的选择。
测试前，详细规划你的测试流程，尽可能地减少对目标系统的影响，比如避开高峰时段进行测试等。
测试后，应详细记录你的测试过程和发现的问题，提交给相应的管理人员或团队。
如果你没有获取授权：
强烈建议不要进行任何形式的测试。如前所述，未授权的测试是非法的，即使你的初衷是帮助目标发现并修复安全漏洞。
总结来说，无论在何种情况下，未经授权进行攻击性安全测试都是不恰当的。在获得明确授权的情况下，也应遵循敬业守则和测试协议，以确保尽量减小对目标网站的负面影响。秉持着合法、道德的原则进行安全测试，是网络安全领域的基本准则。
表字段名基本没啥用，如果有sql注入，基本都能跑出来。报错信息返回的后台路径，可以用在sql注入getshell的时候。
另外，如果担心就尽量获取授权，或者打靶场，实在不行，就挂代理。
这个看网站,可以先做验证是否存在sql注入,然后去跑,小站尽量别跑,容易崩,跑之前要确认是否有waf,防止被I被扳,可以测弱口令,一般没关系,没有出现什么危害,一般没人管你