sqlmap-auto项目复盘（持续更新…）

2026.8.31

最近在练习sql注入，然后觉得sqlmap差点意思，每次敲命令行很烦，就想着能不能自己搓一个skill让agent代劳。然后就搓了这个Michele-deng/sqlmap-auto目前这个版本,emmm,没我想象中好用，目前在中级靶场里试了一下，emmm，速度还算正常，但完全没有想象中的效果。。。。

我一开始对它的设想是，给它一个url，就自动帮我跑完里面sql注入的全过程了，当然我也知道在有很多前置验证的情况下这个要实现起来是有困难的，我的这个设想也非常的粗糙，过于理想化了。我想要能在真实环境里能用来实战的东西。

【插点题外话，这段时间也越来越摸到agent能力的边界了，并非我很久之前想的那样一切东西都能交给它完美完成，还是要以人作为主导的，让工具跑在人前面的结果就是，token烧了很多，结果事情只推进了一点，或者直接南辕北辙了。之前有几个月我还一直很担心以后agent发展起来我要靠什么吃饭来着，果然恐惧源自未知。然后就是，怎么说呢，我觉得ai的发展反而，emmm，像是形成了新的一种门槛，筛选掉容易被替代的，然后让本来就专业的人的能力得到更多的拓展和释放。最近也了解到很多东西，还有一个非常反直觉的事情，ai在真实工作场景的成功率其实是很低的，https://mp.weixin.qq.com/s/APKrN2aRYo36PWSscczrdg卡兹克大神的文章里了解到的。我第一反应是怎么会呢，然后细细读完之后反而有一种本应如此的感觉。实际工作场景中有太多太多的不同了，大模型又是一个算概率的，得到的信息不同，推出的结果也不同。然后这两天又有一个新词，FDE，https://mp.weixin.qq.com/s/qo5XYIt0ZVobqyeO5kio1g 其实在卡神发这篇帖子之前我有了解过这个概念，当时也许还没有这个名词，甚至我是在小红书的评论区看到的这个，我也没有想那么多，就单纯觉得这是一个热门的点，好赚啊。现在看这篇帖子一下子就悟了，原来居然还会有这种情况吗。再一下子，甚至感觉和前面那篇帖子有联动的感觉。说这么多不是想表达轻视ai的发展，只是觉得在发展，那就好好学东西打基础，想办法让它为我所用好了。还有发现一个很有意思的观点，我们无法准确无误地一下子找到下一个kimi并在早期加入，但是一直showing up总会有机会的。】

二编：

太离谱了，跟大佬聊了一下，发现根本没必要这么做。。。。直接跟agent说就可以了……。。真的不能闭门造车啊。。。。。。。但是我还是有点不死心，想多学点之后再回过头来看这个skill，主要我感觉，我现在对开发这个的想法被我自己的技术眼界限制住了，等以后多学点说不定会有新思路。然后现在打的都是靶场，真实环境还没去跑过几次，很多东西自己不亲自体验是感受不到的。在这里留个问号：是直接让agent跑还是搓个skill更合适？前面的发现、手工探测、确认注入点这些能不能让它给做了？