1. 项目概述一次“白帽”视角的靶场实战演练最近在整理内部安全培训材料发现很多刚入行的同学对SQL注入的理解还停留在“万能密码”或者“‘ or ‘1’‘1”这种概念层面知其然不知其所以然。这让我想起自己刚接触Web安全时也是对着书本上的理论一头雾水直到在靶场里亲手把漏洞“打”出来那种“原来如此”的顿悟感才真正把知识点串联起来。所以我决定以Pikachu这个经典的漏洞靶场为沙盘带大家完整地走一遍手工SQL注入的实战流程。这绝不是教你成为“黑客”恰恰相反是让你站在攻击者的角度理解他们是如何思考、如何利用漏洞的从而在开发或运维工作中能更敏锐地发现并修复这些安全隐患。Pikachu靶场集成了各种Web漏洞场景环境搭建简单非常适合作为我们这次“攻防角色扮演”的舞台。我们将聚焦最经典、也最危险的SQL注入漏洞从信息搜集、手工探测、利用攻击到最终获取数据一步步拆解让你不仅看懂更能亲手复现。2. 环境准备与靶场搭建2.1 为什么选择Pikachu靶场在开始动手之前我们先聊聊工具选型。市面上靶场很多比如DVWA、WebGoat、bWAPP等我选择Pikachu主要有三个原因。第一是全面性它几乎涵盖了OWASP Top 10的所有漏洞类型从注入、XSS到文件上传、越权一应俱全而且每个漏洞点都有清晰的提示和难度分级非常适合系统性学习。第二是中文友好它的界面和漏洞说明都是中文的降低了非英语母语学习者的理解门槛。第三是环境简单它本质上是一个PHPMySQL的Web应用部署极其方便无论是用Docker一键拉取还是下载源码包手动配置十分钟内就能跑起来让我们能把精力集中在漏洞原理和利用技巧上而不是和环境搏斗。2.2 本地化部署Pikachu靶场虽然用Docker最省事但我更推荐手动部署一次这能让你更清楚整个Web应用的运行依赖。我的实验环境是Windows 10 PHPStudy集成环境包含了Apache、MySQL和PHP。首先从Pikachu的GitHub官方仓库下载最新源码包。解压后你会得到一个名为pikachu的文件夹。将这个文件夹整个复制到你的Web服务器根目录下对于PHPStudy来说就是WWW目录。接下来是关键的数据初始化。用文本编辑器打开pikachu文件夹下的inc/config.inc.php文件这里存放着数据库连接配置。你需要根据自己MySQL的实际情况修改以下几个参数define(‘DB_HOST‘ ‘localhost‘); // 数据库地址本地就是localhost define(‘DB_USER‘ ‘root‘); // 数据库用户名默认通常是root define(‘DB_PWD‘ ‘root‘); // 数据库密码PHPStudy默认是root define(‘DB_NAME‘ ‘pikachu‘); // 数据库名保持默认即可保存后在浏览器中访问http://localhost/pikachu。首次访问时页面会醒目地提示你“数据库连接错误请先完成初始化”。点击这个提示链接或页面上的“初始化安装”按钮系统会自动创建所需的数据库和数据表。这个过程如果顺利你会看到“初始化成功”的提示然后就可以正常访问靶场首页了。注意很多同学在这一步会卡住常见问题有两个。一是数据库密码错误请务必确认你的MySQL密码。二是文件权限问题如果是在Linux环境下需要确保pikachu目录对Web服务器进程如www-data用户有读写权限否则初始化脚本可能无法创建数据库。3. SQL注入核心原理与手工探测方法论3.1 重温SQL注入的本质信任与拼接的陷阱在进入靶场前我们必须把原理吃透。SQL注入之所以能发生其根源在于“将用户输入的数据直接拼接到了SQL查询语句中并且程序无条件地信任了这份输入”。我举个例子一个典型的用户登录验证的SQL语句可能是这样的SELECT * FROM users WHERE username‘$username‘ AND password‘$password‘这里的$username和$password是从用户登录表单提交过来的。如果程序员没有对它们进行任何过滤或转义攻击者就可以在输入中“夹带私货”。比如在用户名输入框里我不填“admin”而是填admin‘ --注意最后有个空格。那么拼接后的SQL语句就变成了SELECT * FROM users WHERE username‘admin‘ -- ‘ AND password‘anything‘在SQL中--是单行注释符它会让后面的AND password...全部失效。这条语句的意思就变成了“从users表里找出用户名为admin的记录”完全绕过了密码验证。这就是最经典的“万能密码”或“注释符绕过”的原理。理解了这个你就明白了SQL注入攻击的核心就是想方设法闭合原有的SQL语句结构并插入我们自己的恶意查询逻辑。3.2 手工探测四步法从试探到确认在自动化工具大行其道的今天我依然强烈建议从手工探测开始学起。这能锻炼你对HTTP请求、参数和服务器响应的敏感度。我的手工探测流程通常分为四步找输入点、判注入类型、试闭合方式、测信息回显。首先找输入点。在Pikachu靶场“SQL注入”章节下我们选择“字符型注入(get)”作为第一个目标。打开页面看到一个简单的搜索框提示“请输入用户名”。任何可以与数据库交互的输入点都可能是突破口包括URL参数、表单输入、Cookie、HTTP头等。第二步判注入类型。SQL注入主要分数字型和字符型。数字型参数在SQL中直接使用如id$id字符型则需要用引号包裹如name‘$name‘。判断方法很简单输入一个单引号‘。在搜索框输入‘然后提交。如果页面返回了数据库错误如You have an error in your SQL syntax或者页面显示异常空白、报错信息那这里十有八九存在注入漏洞并且很可能是字符型因为我们的单引号破坏了原语句的引号闭合。第三步试闭合方式。如果上一步有错误说明我们需要闭合前面的引号。我们尝试输入‘ or ‘1‘‘1。对于查询语句SELECT ... FROM ... WHERE name‘$name‘拼接后变成WHERE name‘‘ or ‘1‘‘1‘。由于‘1‘‘1‘永远为真这条WHERE条件就会返回所有记录。如果页面此时显示了所有用户信息而不是报错那就证实了注入存在并且我们成功找到了闭合方式这里是单引号。第四步测信息回显。确认注入点后要判断这个页面是否会直接回显数据库查询的结果。我们输入‘ and 11 --和‘ and 12 --。11为真如果页面正常显示12为假如果页面内容消失或变成空比如搜索无结果。通过这种布尔状态的变化我们就能推断后端查询是否被执行以及结果是否影响了页面显示。这种有明确真假回显的注入点我们称之为“联合查询注入”的绝佳位置因为我们可以把窃取的数据直接显示在页面上。4. 实战演练手工完成一次完整的Union联合查询注入4.1 确定字段数与探测回显位在Pikachu的字符型注入点我们已经通过‘ and 11 --和‘ and 12 --确认了这是一个存在布尔回显的注入点。接下来我们要使用ORDER BY子句来确定当前SQL查询结果集的字段数量。ORDER BY用于对查询结果按某一列排序如果指定的列索引超出了实际列数数据库就会报错。我们从1开始尝试在输入框提交‘ order by 1 -- ‘ order by 2 -- ‘ order by 3 -- ‘ order by 4 --当提交到‘ order by 4 --时页面很可能报错或显示异常而‘ order by 3 --时页面正常。这就说明当前执行的SQL查询语句其SELECT部分一共选择了3个字段。这是至关重要的一步因为后续的UNION SELECT语句必须拥有相同的列数才能成功拼接。知道有3个字段后下一步是找出哪些字段的内容会回显在网页上。我们使用UNION SELECT语句并让每个字段显示一个独特的数字。构造Payload如下‘ union select 1,2,3 --提交后观察页面。原本显示用户名的地方很可能被数字“2”或“3”替代了。假设页面上“用户名”那一列显示的是数字“2”而“邮箱”那一列显示的是数字“3”这就意味着后端查询结果集的第2和第3个字段被输出到了页面可见位置。而数字“1”没有显示说明第一个字段可能用于内部逻辑比如用户ID并未在前端展示。我们记下回显位是2和3。4.2 提取数据库关键信息现在我们可以把回显位2和3替换成我们想要查询的数据库函数从而窃取信息。首先我们需要知道当前使用的是哪个数据库。在MySQL中database()函数返回当前数据库名。构造Payload‘ union select 1,database(),3 --提交后在页面的“用户名”位置即第2个回显位你应该会看到显示pikachu这就是我们靶场使用的数据库名。接着我们想获取数据库中的所有表名。在MySQL中表信息存储在information_schema.tables这个系统表中。我们查询该表并筛选属于pikachu数据库的表。这里需要用到group_concat()函数它能把多行结果合并成一个字符串方便我们一次查看。Payload如下‘ union select 1,group_concat(table_name),3 from information_schema.tables where table_schema‘pikachu‘ --提交后在回显位你会看到一个很长的字符串里面包含了httpinfo,member,message,users,xssblind等多个表名。我们重点关注users表它很可能存放着用户凭证。4.3 获取表结构与最终数据窃取知道了表名users我们还需要知道它有哪些列字段。列信息存储在information_schema.columns中。构造Payload查询users表的结构‘ union select 1,group_concat(column_name),3 from information_schema.columns where table_schema‘pikachu‘ and table_name‘users‘ --回显的结果可能会是id,username,password,level等。这样我们就清楚了users表里有username和password这两个我们最感兴趣的字段。最后就是摘取胜利果实了。直接查询users表中的用户名和密码。为了格式清晰我们可以用concat_ws()函数用特定的分隔符比如-把username和password连接起来。最终Payload‘ union select 1,concat_ws(‘-‘,username,password),3 from users --提交这个Payload页面上应该会清晰地列出所有用户的用户名和密码哈希值格式如admin-xxxxxx、test-xxxxxx。至此一次完整的手工联合查询注入攻击就完成了。我们从一个简单的搜索框出发最终拿到了整个用户表的敏感信息。实操心得在实际渗透测试中过程远比靶场复杂。页面可能没有直接回显这就需要用到基于布尔Boolean或时间Time-Based的盲注技术通过页面返回的真假差异或响应时间差来逐位推断数据其原理和联合查询一致但耗时呈指数级增长。这也是为什么理解手工原理至关重要它是你理解和编写自动化脚本的基础。5. 自动化工具辅助与漏洞深度利用5.1 使用Sqlmap进行高效验证与利用手工注入能让你透彻理解原理但在面对复杂过滤或盲注时效率太低。这时专业的自动化工具如Sqlmap就能大显身手。Sqlmap是一个开源的渗透测试工具专门用于检测和利用SQL注入漏洞。我们用它来验证刚才手工找到的注入点并展示其强大功能。首先你需要确保安装了Python和Sqlmap。在命令行中定位到Sqlmap的目录。我们的目标是Pikachu靶场的字符型注入点其URL可能是http://localhost/pikachu/vul/sqli/sqli_str.php并且有一个名为name的GET参数。基础检测命令如下python sqlmap.py -u “http://localhost/pikachu/vul/sqli/sqli_str.php?nametestsubmit%E6%9F%A5%E8%AF%A2” --batch-u参数指定目标URL--batch表示以非交互模式运行所有提示都选默认。Sqlmap会先发送一系列测试Payload识别注入类型。运行后它很可能很快识别出这是一个基于布尔和时间的盲注点甚至会提示你使用--techniqueB来指定布尔盲注技术进行后续操作。确认漏洞存在后我们可以让Sqlmap直接获取数据库信息。使用--dbs参数枚举所有数据库python sqlmap.py -u “目标URL” --dbs它会列出服务器上的所有数据库其中应该包含pikachu。接着指定数据库枚举其中的表python sqlmap.py -u “目标URL” -D pikachu --tables然后指定表和字段进行数据脱取python sqlmap.py -u “目标URL” -D pikachu -T users -C username,password --dump--dump命令会将这些列的数据全部下载并保存到本地。Sqlmap甚至会自动识别哈希格式并尝试用内置字典进行破解。你会发现整个过程几乎不需要人工干预工具已经帮你完成了从探测到数据窃取的全流程。5.2 绕过简单的过滤与防御机制靶场环境是理想化的真实世界中的程序往往会有些简单的防御。Pikachu靶场也提供了“过滤注入”的关卡模拟了基础防护。常见的过滤包括将select,union,or,and,空格等关键词替换为空或进行转义。面对这种情况我们需要一些绕过技巧。1. 大小写混合/双写绕过如果过滤是简单的、大小写敏感的关键词匹配可以尝试SeLeCt、UnIoN。如果程序是删除关键词可以尝试双写如selselectect当中间的select被删除后剩下的字符正好又组成了一个select。2. 等价符号替换and和or被过滤时可以用和||替代在MySQL中需要注意使用环境。号可以用like、rlike或regexp替代例如‘ or 1 like 1 --。3. 注释符与空白符绕过空格被过滤时可以使用注释符/**/来代替空格。例如‘union/**/select/**/1,2,3 --。Tab符(%09)、换行符(%0a)有时也能起到分隔作用。4. 编码与十六进制绕过将关键词或字符串转换成十六进制。例如select的十六进制是0x73656c656374可以在某些场景下使用。或者对字符串进行URL编码如单引号‘编码为%27。在Pikachu的过滤注入关卡你可以尝试Payload‘ anandd ‘1‘‘1。假设它过滤了and将其删除那么anandd中间的and被删除后剩下的and就成功留下了。通过不断尝试和观察错误信息你可以推断出过滤规则并找到绕过方法。这个过程很像解谜是思维能力的很好锻炼。6. 从攻击中反思开发者如何有效防御SQL注入6.1 治本之策使用参数化查询预编译语句经历了完整的攻击过程我们更能深刻体会到防御的重要性。防御SQL注入首推也是唯一从根本上解决问题的方法就是使用参数化查询Prepared Statements。它的原理是将SQL语句的结构代码与数据用户输入分开发送和处理。数据库会先编译SQL语句的模板例如SELECT * FROM users WHERE username ? AND password ?这里的?是占位符。之后当传入具体的参数值如‘admin‘, ‘123456‘时数据库只会将这些值当作纯粹的数据来填充到占位符的位置而不会将它们解释为SQL代码的一部分。即使用户输入包含了‘ or ‘1‘‘1它也会被当作一个完整的字符串值去和username字段比较而不会破坏SQL语句结构。以PHP的PDO为例安全的写法应该是$stmt $pdo-prepare(“SELECT * FROM users WHERE username :username AND password :password“); $stmt-execute([‘:username‘ $username, ‘:password‘ $password]); $user $stmt-fetch();这样无论$username和$password变量里是什么内容都无法改变SELECT ... WHERE username ?这个查询逻辑。6.2 辅助措施与深度防御虽然参数化查询是核心但构建一个健壮的系统还需要多层防御。输入验证与过滤在参数化查询之前对输入进行严格的验证。例如对于期望是数字的id参数用intval()函数强制转换为整数对于用户名可以用正则表达式限制其字符范围和长度。但切记过滤不能替代参数化查询它只能作为一道补充的防线过滤掉一些明显不合规的输入。最小权限原则为Web应用程序连接数据库分配一个权限尽可能低的账户。这个账户只拥有对特定业务表进行SELECT、INSERT、UPDATE的权限绝对不要赋予DROP、CREATE TABLE、FILE等高级权限。这样即使发生注入攻击者能造成的破坏也被限制在有限范围内。错误信息处理切勿将详细的数据库错误信息如SQL语法错误、表名、列名直接显示给前端用户。这些信息是攻击者的“路标”。应该配置自定义的错误页面在生产环境中只记录详细错误到日志给用户返回通用的友好提示。Web应用防火墙WAF在应用前端部署WAF可以识别并拦截常见的SQL注入攻击模式。它可以作为网络层的一道有力屏障但同样不能替代代码层面的安全编码。定期安全审计与漏洞扫描使用自动化工具如SQLMap本身也可以用于安全扫描或代码审计工具定期对自身的应用进行漏洞扫描。同时对代码进行人工审计特别是涉及数据库操作的部分。7. 常见问题排查与实战心得记录7.1 靶场环境搭建与注入过程常见问题在复现过程中你可能会遇到一些典型问题这里我集中记录一下我的排查经验。1. 访问靶场页面空白或报错“数据库连接失败”检查点1配置文件。再次确认inc/config.inc.php中的数据库密码、主机名是否正确。PHPStudy的MySQL密码有时会修改不一定是root。检查点2数据库服务。确认MySQL服务是否已经启动。在PHPStudy面板查看MySQL是否为绿色“运行中”状态。检查点3初始化。务必通过浏览器访问首页并点击链接完成数据库的初始化安装。仅仅导入SQL文件可能不够。2. 手工注入时输入单引号后页面无任何变化不报错可能性1漏洞不存在或类型不同。这个输入点可能不存在SQL注入或者它是数字型注入。尝试输入1 and 11和1 and 12观察页面是否有布尔差异。可能性2错误信息被屏蔽。程序可能设置了error_reporting(0)或try-catch捕获了异常导致错误没有显示在前端。这时需要依靠盲注技术通过观察页面内容差异布尔盲注或响应时间差异时间盲注来判断。3. 使用Union Select时页面报错“The used SELECT statements have a different number of columns”原因UNION操作要求前后两个SELECT语句的列数必须严格一致。你ORDER BY测出的列数可能不准确或者UNION后面查询的列数不对。解决重新用ORDER BY仔细探测从1开始递增直到页面出错最后一个正常的数字就是列数。确保UNION SELECT后面跟的字段数与之一致。4. Sqlmap跑不出结果或速度极慢调整技术使用--technique参数指定注入技术。对于有明显布尔回显的点用--techniqueB布尔盲注对于没有任何回显的用--techniqueT时间盲注。这能大幅提高效率。提高等级和风险尝试增加--level测试等级和--risk风险等级。例如--level3 --risk2这会启用更多、更深入的测试Payload。设置延迟对于时间盲注如果网络不稳定或服务器响应慢可以使用--time-sec参数增加每次测试的延迟时间避免请求超时导致误判。7.2 个人实战心得与思维提升最后分享几点在无数次靶场和真实授权测试中积累的心得这些在标准教程里往往不会写1. 培养“数据流”思维不要只看一个输入框。看到一个功能就在脑子里画图用户输入从哪里来URL、表单、Header、Cookie经过哪些函数处理是否trim、转义、过滤最后拼接到哪里去了SQL语句、系统命令、文件路径追踪数据的完整流向是发现漏洞的关键。2. 关注“异常”而非“正常”渗透测试时要像侦探一样敏感。页面一个细微的加载延迟、一个单词的大小写变化、一个本不该出现的错误提示都可能是漏洞的蛛丝马迹。手工测试时对比and 11和and 12的响应差异是盲注的起点。3. 工具是手臂思维才是大脑Sqlmap很强大但把它当黑盒用你永远只是个脚本小子。多看看它的-v参数输出的Payload理解它每一步在测试什么。尝试手动重现它发送的某个Payload思考为什么这个Payload能生效。这个过程能极大提升你的漏洞构造能力。4. 防御者的视角至关重要每次成功实施一次注入攻击后立刻切换角色如果我是开发者怎么修这个漏洞是改用参数化查询还是增加输入验证在哪里加日志如何监控异常请求这种攻防切换的思维能让你无论是做安全开发、安全运维还是渗透测试都更加得心应手。安全本质上是一场攻防的博弈理解攻击是为了更好地防御。 SQL注入实战：从手工探测到自动化利用的靶场攻防演练
1. 项目概述一次“白帽”视角的靶场实战演练最近在整理内部安全培训材料发现很多刚入行的同学对SQL注入的理解还停留在“万能密码”或者“‘ or ‘1’‘1”这种概念层面知其然不知其所以然。这让我想起自己刚接触Web安全时也是对着书本上的理论一头雾水直到在靶场里亲手把漏洞“打”出来那种“原来如此”的顿悟感才真正把知识点串联起来。所以我决定以Pikachu这个经典的漏洞靶场为沙盘带大家完整地走一遍手工SQL注入的实战流程。这绝不是教你成为“黑客”恰恰相反是让你站在攻击者的角度理解他们是如何思考、如何利用漏洞的从而在开发或运维工作中能更敏锐地发现并修复这些安全隐患。Pikachu靶场集成了各种Web漏洞场景环境搭建简单非常适合作为我们这次“攻防角色扮演”的舞台。我们将聚焦最经典、也最危险的SQL注入漏洞从信息搜集、手工探测、利用攻击到最终获取数据一步步拆解让你不仅看懂更能亲手复现。2. 环境准备与靶场搭建2.1 为什么选择Pikachu靶场在开始动手之前我们先聊聊工具选型。市面上靶场很多比如DVWA、WebGoat、bWAPP等我选择Pikachu主要有三个原因。第一是全面性它几乎涵盖了OWASP Top 10的所有漏洞类型从注入、XSS到文件上传、越权一应俱全而且每个漏洞点都有清晰的提示和难度分级非常适合系统性学习。第二是中文友好它的界面和漏洞说明都是中文的降低了非英语母语学习者的理解门槛。第三是环境简单它本质上是一个PHPMySQL的Web应用部署极其方便无论是用Docker一键拉取还是下载源码包手动配置十分钟内就能跑起来让我们能把精力集中在漏洞原理和利用技巧上而不是和环境搏斗。2.2 本地化部署Pikachu靶场虽然用Docker最省事但我更推荐手动部署一次这能让你更清楚整个Web应用的运行依赖。我的实验环境是Windows 10 PHPStudy集成环境包含了Apache、MySQL和PHP。首先从Pikachu的GitHub官方仓库下载最新源码包。解压后你会得到一个名为pikachu的文件夹。将这个文件夹整个复制到你的Web服务器根目录下对于PHPStudy来说就是WWW目录。接下来是关键的数据初始化。用文本编辑器打开pikachu文件夹下的inc/config.inc.php文件这里存放着数据库连接配置。你需要根据自己MySQL的实际情况修改以下几个参数define(‘DB_HOST‘ ‘localhost‘); // 数据库地址本地就是localhost define(‘DB_USER‘ ‘root‘); // 数据库用户名默认通常是root define(‘DB_PWD‘ ‘root‘); // 数据库密码PHPStudy默认是root define(‘DB_NAME‘ ‘pikachu‘); // 数据库名保持默认即可保存后在浏览器中访问http://localhost/pikachu。首次访问时页面会醒目地提示你“数据库连接错误请先完成初始化”。点击这个提示链接或页面上的“初始化安装”按钮系统会自动创建所需的数据库和数据表。这个过程如果顺利你会看到“初始化成功”的提示然后就可以正常访问靶场首页了。注意很多同学在这一步会卡住常见问题有两个。一是数据库密码错误请务必确认你的MySQL密码。二是文件权限问题如果是在Linux环境下需要确保pikachu目录对Web服务器进程如www-data用户有读写权限否则初始化脚本可能无法创建数据库。3. SQL注入核心原理与手工探测方法论3.1 重温SQL注入的本质信任与拼接的陷阱在进入靶场前我们必须把原理吃透。SQL注入之所以能发生其根源在于“将用户输入的数据直接拼接到了SQL查询语句中并且程序无条件地信任了这份输入”。我举个例子一个典型的用户登录验证的SQL语句可能是这样的SELECT * FROM users WHERE username‘$username‘ AND password‘$password‘这里的$username和$password是从用户登录表单提交过来的。如果程序员没有对它们进行任何过滤或转义攻击者就可以在输入中“夹带私货”。比如在用户名输入框里我不填“admin”而是填admin‘ --注意最后有个空格。那么拼接后的SQL语句就变成了SELECT * FROM users WHERE username‘admin‘ -- ‘ AND password‘anything‘在SQL中--是单行注释符它会让后面的AND password...全部失效。这条语句的意思就变成了“从users表里找出用户名为admin的记录”完全绕过了密码验证。这就是最经典的“万能密码”或“注释符绕过”的原理。理解了这个你就明白了SQL注入攻击的核心就是想方设法闭合原有的SQL语句结构并插入我们自己的恶意查询逻辑。3.2 手工探测四步法从试探到确认在自动化工具大行其道的今天我依然强烈建议从手工探测开始学起。这能锻炼你对HTTP请求、参数和服务器响应的敏感度。我的手工探测流程通常分为四步找输入点、判注入类型、试闭合方式、测信息回显。首先找输入点。在Pikachu靶场“SQL注入”章节下我们选择“字符型注入(get)”作为第一个目标。打开页面看到一个简单的搜索框提示“请输入用户名”。任何可以与数据库交互的输入点都可能是突破口包括URL参数、表单输入、Cookie、HTTP头等。第二步判注入类型。SQL注入主要分数字型和字符型。数字型参数在SQL中直接使用如id$id字符型则需要用引号包裹如name‘$name‘。判断方法很简单输入一个单引号‘。在搜索框输入‘然后提交。如果页面返回了数据库错误如You have an error in your SQL syntax或者页面显示异常空白、报错信息那这里十有八九存在注入漏洞并且很可能是字符型因为我们的单引号破坏了原语句的引号闭合。第三步试闭合方式。如果上一步有错误说明我们需要闭合前面的引号。我们尝试输入‘ or ‘1‘‘1。对于查询语句SELECT ... FROM ... WHERE name‘$name‘拼接后变成WHERE name‘‘ or ‘1‘‘1‘。由于‘1‘‘1‘永远为真这条WHERE条件就会返回所有记录。如果页面此时显示了所有用户信息而不是报错那就证实了注入存在并且我们成功找到了闭合方式这里是单引号。第四步测信息回显。确认注入点后要判断这个页面是否会直接回显数据库查询的结果。我们输入‘ and 11 --和‘ and 12 --。11为真如果页面正常显示12为假如果页面内容消失或变成空比如搜索无结果。通过这种布尔状态的变化我们就能推断后端查询是否被执行以及结果是否影响了页面显示。这种有明确真假回显的注入点我们称之为“联合查询注入”的绝佳位置因为我们可以把窃取的数据直接显示在页面上。4. 实战演练手工完成一次完整的Union联合查询注入4.1 确定字段数与探测回显位在Pikachu的字符型注入点我们已经通过‘ and 11 --和‘ and 12 --确认了这是一个存在布尔回显的注入点。接下来我们要使用ORDER BY子句来确定当前SQL查询结果集的字段数量。ORDER BY用于对查询结果按某一列排序如果指定的列索引超出了实际列数数据库就会报错。我们从1开始尝试在输入框提交‘ order by 1 -- ‘ order by 2 -- ‘ order by 3 -- ‘ order by 4 --当提交到‘ order by 4 --时页面很可能报错或显示异常而‘ order by 3 --时页面正常。这就说明当前执行的SQL查询语句其SELECT部分一共选择了3个字段。这是至关重要的一步因为后续的UNION SELECT语句必须拥有相同的列数才能成功拼接。知道有3个字段后下一步是找出哪些字段的内容会回显在网页上。我们使用UNION SELECT语句并让每个字段显示一个独特的数字。构造Payload如下‘ union select 1,2,3 --提交后观察页面。原本显示用户名的地方很可能被数字“2”或“3”替代了。假设页面上“用户名”那一列显示的是数字“2”而“邮箱”那一列显示的是数字“3”这就意味着后端查询结果集的第2和第3个字段被输出到了页面可见位置。而数字“1”没有显示说明第一个字段可能用于内部逻辑比如用户ID并未在前端展示。我们记下回显位是2和3。4.2 提取数据库关键信息现在我们可以把回显位2和3替换成我们想要查询的数据库函数从而窃取信息。首先我们需要知道当前使用的是哪个数据库。在MySQL中database()函数返回当前数据库名。构造Payload‘ union select 1,database(),3 --提交后在页面的“用户名”位置即第2个回显位你应该会看到显示pikachu这就是我们靶场使用的数据库名。接着我们想获取数据库中的所有表名。在MySQL中表信息存储在information_schema.tables这个系统表中。我们查询该表并筛选属于pikachu数据库的表。这里需要用到group_concat()函数它能把多行结果合并成一个字符串方便我们一次查看。Payload如下‘ union select 1,group_concat(table_name),3 from information_schema.tables where table_schema‘pikachu‘ --提交后在回显位你会看到一个很长的字符串里面包含了httpinfo,member,message,users,xssblind等多个表名。我们重点关注users表它很可能存放着用户凭证。4.3 获取表结构与最终数据窃取知道了表名users我们还需要知道它有哪些列字段。列信息存储在information_schema.columns中。构造Payload查询users表的结构‘ union select 1,group_concat(column_name),3 from information_schema.columns where table_schema‘pikachu‘ and table_name‘users‘ --回显的结果可能会是id,username,password,level等。这样我们就清楚了users表里有username和password这两个我们最感兴趣的字段。最后就是摘取胜利果实了。直接查询users表中的用户名和密码。为了格式清晰我们可以用concat_ws()函数用特定的分隔符比如-把username和password连接起来。最终Payload‘ union select 1,concat_ws(‘-‘,username,password),3 from users --提交这个Payload页面上应该会清晰地列出所有用户的用户名和密码哈希值格式如admin-xxxxxx、test-xxxxxx。至此一次完整的手工联合查询注入攻击就完成了。我们从一个简单的搜索框出发最终拿到了整个用户表的敏感信息。实操心得在实际渗透测试中过程远比靶场复杂。页面可能没有直接回显这就需要用到基于布尔Boolean或时间Time-Based的盲注技术通过页面返回的真假差异或响应时间差来逐位推断数据其原理和联合查询一致但耗时呈指数级增长。这也是为什么理解手工原理至关重要它是你理解和编写自动化脚本的基础。5. 自动化工具辅助与漏洞深度利用5.1 使用Sqlmap进行高效验证与利用手工注入能让你透彻理解原理但在面对复杂过滤或盲注时效率太低。这时专业的自动化工具如Sqlmap就能大显身手。Sqlmap是一个开源的渗透测试工具专门用于检测和利用SQL注入漏洞。我们用它来验证刚才手工找到的注入点并展示其强大功能。首先你需要确保安装了Python和Sqlmap。在命令行中定位到Sqlmap的目录。我们的目标是Pikachu靶场的字符型注入点其URL可能是http://localhost/pikachu/vul/sqli/sqli_str.php并且有一个名为name的GET参数。基础检测命令如下python sqlmap.py -u “http://localhost/pikachu/vul/sqli/sqli_str.php?nametestsubmit%E6%9F%A5%E8%AF%A2” --batch-u参数指定目标URL--batch表示以非交互模式运行所有提示都选默认。Sqlmap会先发送一系列测试Payload识别注入类型。运行后它很可能很快识别出这是一个基于布尔和时间的盲注点甚至会提示你使用--techniqueB来指定布尔盲注技术进行后续操作。确认漏洞存在后我们可以让Sqlmap直接获取数据库信息。使用--dbs参数枚举所有数据库python sqlmap.py -u “目标URL” --dbs它会列出服务器上的所有数据库其中应该包含pikachu。接着指定数据库枚举其中的表python sqlmap.py -u “目标URL” -D pikachu --tables然后指定表和字段进行数据脱取python sqlmap.py -u “目标URL” -D pikachu -T users -C username,password --dump--dump命令会将这些列的数据全部下载并保存到本地。Sqlmap甚至会自动识别哈希格式并尝试用内置字典进行破解。你会发现整个过程几乎不需要人工干预工具已经帮你完成了从探测到数据窃取的全流程。5.2 绕过简单的过滤与防御机制靶场环境是理想化的真实世界中的程序往往会有些简单的防御。Pikachu靶场也提供了“过滤注入”的关卡模拟了基础防护。常见的过滤包括将select,union,or,and,空格等关键词替换为空或进行转义。面对这种情况我们需要一些绕过技巧。1. 大小写混合/双写绕过如果过滤是简单的、大小写敏感的关键词匹配可以尝试SeLeCt、UnIoN。如果程序是删除关键词可以尝试双写如selselectect当中间的select被删除后剩下的字符正好又组成了一个select。2. 等价符号替换and和or被过滤时可以用和||替代在MySQL中需要注意使用环境。号可以用like、rlike或regexp替代例如‘ or 1 like 1 --。3. 注释符与空白符绕过空格被过滤时可以使用注释符/**/来代替空格。例如‘union/**/select/**/1,2,3 --。Tab符(%09)、换行符(%0a)有时也能起到分隔作用。4. 编码与十六进制绕过将关键词或字符串转换成十六进制。例如select的十六进制是0x73656c656374可以在某些场景下使用。或者对字符串进行URL编码如单引号‘编码为%27。在Pikachu的过滤注入关卡你可以尝试Payload‘ anandd ‘1‘‘1。假设它过滤了and将其删除那么anandd中间的and被删除后剩下的and就成功留下了。通过不断尝试和观察错误信息你可以推断出过滤规则并找到绕过方法。这个过程很像解谜是思维能力的很好锻炼。6. 从攻击中反思开发者如何有效防御SQL注入6.1 治本之策使用参数化查询预编译语句经历了完整的攻击过程我们更能深刻体会到防御的重要性。防御SQL注入首推也是唯一从根本上解决问题的方法就是使用参数化查询Prepared Statements。它的原理是将SQL语句的结构代码与数据用户输入分开发送和处理。数据库会先编译SQL语句的模板例如SELECT * FROM users WHERE username ? AND password ?这里的?是占位符。之后当传入具体的参数值如‘admin‘, ‘123456‘时数据库只会将这些值当作纯粹的数据来填充到占位符的位置而不会将它们解释为SQL代码的一部分。即使用户输入包含了‘ or ‘1‘‘1它也会被当作一个完整的字符串值去和username字段比较而不会破坏SQL语句结构。以PHP的PDO为例安全的写法应该是$stmt $pdo-prepare(“SELECT * FROM users WHERE username :username AND password :password“); $stmt-execute([‘:username‘ $username, ‘:password‘ $password]); $user $stmt-fetch();这样无论$username和$password变量里是什么内容都无法改变SELECT ... WHERE username ?这个查询逻辑。6.2 辅助措施与深度防御虽然参数化查询是核心但构建一个健壮的系统还需要多层防御。输入验证与过滤在参数化查询之前对输入进行严格的验证。例如对于期望是数字的id参数用intval()函数强制转换为整数对于用户名可以用正则表达式限制其字符范围和长度。但切记过滤不能替代参数化查询它只能作为一道补充的防线过滤掉一些明显不合规的输入。最小权限原则为Web应用程序连接数据库分配一个权限尽可能低的账户。这个账户只拥有对特定业务表进行SELECT、INSERT、UPDATE的权限绝对不要赋予DROP、CREATE TABLE、FILE等高级权限。这样即使发生注入攻击者能造成的破坏也被限制在有限范围内。错误信息处理切勿将详细的数据库错误信息如SQL语法错误、表名、列名直接显示给前端用户。这些信息是攻击者的“路标”。应该配置自定义的错误页面在生产环境中只记录详细错误到日志给用户返回通用的友好提示。Web应用防火墙WAF在应用前端部署WAF可以识别并拦截常见的SQL注入攻击模式。它可以作为网络层的一道有力屏障但同样不能替代代码层面的安全编码。定期安全审计与漏洞扫描使用自动化工具如SQLMap本身也可以用于安全扫描或代码审计工具定期对自身的应用进行漏洞扫描。同时对代码进行人工审计特别是涉及数据库操作的部分。7. 常见问题排查与实战心得记录7.1 靶场环境搭建与注入过程常见问题在复现过程中你可能会遇到一些典型问题这里我集中记录一下我的排查经验。1. 访问靶场页面空白或报错“数据库连接失败”检查点1配置文件。再次确认inc/config.inc.php中的数据库密码、主机名是否正确。PHPStudy的MySQL密码有时会修改不一定是root。检查点2数据库服务。确认MySQL服务是否已经启动。在PHPStudy面板查看MySQL是否为绿色“运行中”状态。检查点3初始化。务必通过浏览器访问首页并点击链接完成数据库的初始化安装。仅仅导入SQL文件可能不够。2. 手工注入时输入单引号后页面无任何变化不报错可能性1漏洞不存在或类型不同。这个输入点可能不存在SQL注入或者它是数字型注入。尝试输入1 and 11和1 and 12观察页面是否有布尔差异。可能性2错误信息被屏蔽。程序可能设置了error_reporting(0)或try-catch捕获了异常导致错误没有显示在前端。这时需要依靠盲注技术通过观察页面内容差异布尔盲注或响应时间差异时间盲注来判断。3. 使用Union Select时页面报错“The used SELECT statements have a different number of columns”原因UNION操作要求前后两个SELECT语句的列数必须严格一致。你ORDER BY测出的列数可能不准确或者UNION后面查询的列数不对。解决重新用ORDER BY仔细探测从1开始递增直到页面出错最后一个正常的数字就是列数。确保UNION SELECT后面跟的字段数与之一致。4. Sqlmap跑不出结果或速度极慢调整技术使用--technique参数指定注入技术。对于有明显布尔回显的点用--techniqueB布尔盲注对于没有任何回显的用--techniqueT时间盲注。这能大幅提高效率。提高等级和风险尝试增加--level测试等级和--risk风险等级。例如--level3 --risk2这会启用更多、更深入的测试Payload。设置延迟对于时间盲注如果网络不稳定或服务器响应慢可以使用--time-sec参数增加每次测试的延迟时间避免请求超时导致误判。7.2 个人实战心得与思维提升最后分享几点在无数次靶场和真实授权测试中积累的心得这些在标准教程里往往不会写1. 培养“数据流”思维不要只看一个输入框。看到一个功能就在脑子里画图用户输入从哪里来URL、表单、Header、Cookie经过哪些函数处理是否trim、转义、过滤最后拼接到哪里去了SQL语句、系统命令、文件路径追踪数据的完整流向是发现漏洞的关键。2. 关注“异常”而非“正常”渗透测试时要像侦探一样敏感。页面一个细微的加载延迟、一个单词的大小写变化、一个本不该出现的错误提示都可能是漏洞的蛛丝马迹。手工测试时对比and 11和and 12的响应差异是盲注的起点。3. 工具是手臂思维才是大脑Sqlmap很强大但把它当黑盒用你永远只是个脚本小子。多看看它的-v参数输出的Payload理解它每一步在测试什么。尝试手动重现它发送的某个Payload思考为什么这个Payload能生效。这个过程能极大提升你的漏洞构造能力。4. 防御者的视角至关重要每次成功实施一次注入攻击后立刻切换角色如果我是开发者怎么修这个漏洞是改用参数化查询还是增加输入验证在哪里加日志如何监控异常请求这种攻防切换的思维能让你无论是做安全开发、安全运维还是渗透测试都更加得心应手。安全本质上是一场攻防的博弈理解攻击是为了更好地防御。