1. 从“Hello, World”到实战为什么选择sqli-labs作为SQL注入第一课如果你刚开始接触网络安全尤其是Web安全那么“SQL注入”这个词对你来说可能既熟悉又陌生。熟悉是因为它几乎出现在所有安全漏洞榜单的前列是每个安全工程师的必修课陌生则是因为当你真正想动手实践时面对一个真实的、复杂的网站往往无从下手不知道从哪里注入也不知道注入后能干什么。这种感觉就像拿到了驾照却不敢上路一样。我刚开始学的时候也这样看了很多理论知道有“单引号闭合”、“union查询”、“盲注”这些概念但一到实操就懵圈。直到我遇到了sqli-labs这个靶场。它不是最炫酷的也不是最新的但它绝对是最经典、最体系化的SQL注入学习平台。你可以把它理解为SQL注入领域的“LeetCode”从最简单的GET型注入到需要绕过多重过滤的复杂场景它为你设计好了65个由浅入深的关卡。通过它你不仅能学会“怎么注”更能理解“为什么能注”以及“遇到防御时该怎么绕”。网上有很多通关笔记但大多只给出了答案。这篇笔记的不同之处在于我会带你一起“解题”重点不是记住那个最终的payload而是还原整个思考过程我是如何判断注入点的为什么选择这种注入方式遇到报错或没回显时我的排查思路是什么这些实战中的“肌肉记忆”才是从入门到进阶的关键。我们不会只停留在Less-1而是会挑选最具代表性的关卡拆解其核心原理和绕过技巧让你能举一反三应对更真实的场景。2. 环境搭建与基础认知你的第一个注入点在开始“打怪升级”之前我们得先把“战场”准备好。sqli-labs基于PHP和MySQL搭建过程非常简单。2.1 快速搭建你的专属训练场我推荐使用集成环境比如XAMPP或PHPStudy小皮面板它们能一键安装Apache、PHP和MySQL。以PHPStudy为例下载安装后将下载的sqli-labs源码包解压到其WWW目录下例如D:\phpstudy_pro\WWW\sqli-labs。然后你需要修改一下数据库连接配置。找到sqli-labs/sql-connections目录下的db-creds.inc文件用记事本打开将数据库密码修改为你本地MySQL的密码PHPStudy默认密码通常是root。?php //give your mysql connection username and password $dbuser root; $dbpass root; // 修改为你的MySQL密码 $dbname security; $host localhost; $dbname1 challenges; ?接着在浏览器访问http://localhost/sqli-labs/点击页面上的“Setup/reset Database for labs”链接。如果一切顺利你会看到创建数据库成功的提示。这时你的靶场就准备好了。注意很多新手卡在这一步问题往往出在数据库密码错误或端口冲突。如果遇到问题首先检查PHPStudy的MySQL服务是否启动亮绿灯然后确认db-creds.inc中的密码与PHPStudy管理界面显示的MySQL密码完全一致。端口冲突比如80端口被占用可能导致Apache启动失败可以在PHPStudy的设置中修改Apache的监听端口。2.2 理解靶场的核心数据库与关卡设计搭建完成后我们来看看这个靶场是怎么设计的。它创建了一个名为security的数据库里面有一张核心的用户表users表结构很简单CREATE TABLE users ( id int(3) NOT NULL AUTO_INCREMENT, username varchar(20) NOT NULL, password varchar(20) NOT NULL, PRIMARY KEY (id) ) ENGINEInnoDB AUTO_INCREMENT14 DEFAULT CHARSETutf8;表里预置了十几条数据像Dumb,Angelina,Dummy等。我们所有的注入练习目标都是通过前端的输入以非预期的方式操作这个数据库最终获取到这些数据。关卡Less-1, Less-2...的本质是后端PHP代码对用户输入的处理方式不同。比如Less-1可能是$id $_GET[id]; $sql SELECT * FROM users WHERE id$id LIMIT 0,1; 而Less-2可能是$sql SELECT * FROM users WHERE id$id LIMIT 0,1;。一个用了单引号包裹一个没有。这细微的差别就决定了我们注入时闭合方式的不同。理解每一关的代码逻辑即使不看源码通过报错信息也能推断是通关的第一步。3. 入门四式掌握SQL注入的基本攻击模式sqli-labs的前10关系统地涵盖了SQL注入的四种基本类型基于错误的注入、基于布尔的盲注、基于时间的盲注以及联合查询注入。我们逐一拆解。3.1 第一式基于错误的注入——让数据库“说真话”代表关卡Less-1这是大多数人的起点。页面有一个GET参数?id1显示对应用户名和密码。我们的攻击思路是通过构造输入引发数据库语法错误从而从错误信息中获取数据库结构信息。第一步永远是探测注入点。输入?id1在数字1后加一个单引号。如果页面返回了数据库的报错信息例如You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 1 LIMIT 0,1 at line 1恭喜你注入点存在这个报错信息极其珍贵。它告诉我们我们输入的单引号破坏了原SQL语句的闭合。原语句大概是SELECT ... WHERE id1 LIMIT 0,1我们输入1后语句变成了WHERE id1 LIMIT ...多了一个单引号导致语法错误。第二步判断列数。这是为后续的联合查询UNION做准备。使用ORDER BY子句。输入?id1 ORDER BY 3--。ORDER BY 3表示按第三列排序。如果页面正常显示说明查询结果的列数至少为3列。我们逐渐增加数字ORDER BY 4--如果此时页面报错或异常则说明查询结果只有3列。这里的--是注释符--空格在URL中代表空格用于注释掉后面原有的SQL代码比如LIMIT 0,1避免干扰。第三步联合查询获取数据。知道了列数例如3列我们就可以使用UNION操作符将我们想查询的数据“拼接”到原查询结果中。输入?id-1 UNION SELECT 1,2,3--这里把id设为-1一个不存在的值是为了让原查询结果为空从而页面直接显示我们UNION SELECT的结果。如果页面某处显示了数字“2”和“3”说明这两个位置可以回显数据。第四步获取数据库信息。将可回显位置替换为数据库函数。例如?id-1 UNION SELECT 1, database(), version()--页面就会显示当前数据库名security和MySQL版本号。进而我们可以查询information_schema这个系统数据库来获取所有表名、列名?id-1 UNION SELECT 1,group_concat(table_name),3 FROM information_schema.tables WHERE table_schemadatabase()--?id-1 UNION SELECT 1,group_concat(column_name),3 FROM information_schema.columns WHERE table_nameusers--最后爆出数据?id-1 UNION SELECT 1,group_concat(username),group_concat(password) FROM users--实操心得group_concat()函数在这里非常关键它能把多行结果合并成一个字符串返回避免了一次只能显示一行的限制。但要注意group_concat有长度限制默认1024字节如果数据太多可能被截断。此时可以改用limit子句分批次查询例如limit 0,1、limit 1,1。3.2 第二式基于布尔的盲注——与数据库的“是或否”游戏代表关卡Less-8这一关无论输入什么页面都只有一种“You are in...”的提示没有具体数据回显也没有详细的报错信息。这就是“盲注”。我们只能通过页面是否正常显示布尔状态来推断信息。这就像玩一个猜数字游戏你只能问“比5大吗”对方回答“是”或“否”。攻击依赖于length()、substr()和ascii()等函数逐位猜解。目标是猜出数据库名的第一个字符是什么。猜数据库名长度?id1 AND length(database())8--。如果页面正常显示说明数据库名长度为8否则调整数字继续试。猜第一个字符的ASCII码?id1 AND ascii(substr(database(),1,1))100--。如果页面正常说明ASCII码大于100。然后通过二分法150? 125? ...快速缩小范围最终确定字符的ASCII码再转换为字符例如115对应字母‘s’。重复这个过程substr(database(),2,1)猜第二个字符直到猜出完整库名“security”。用同样的方法去猜表名、列名、数据。公式为?id1 AND ascii(substr((SELECT查询语句), 第几位, 1))某个ASCII值--这个过程极其繁琐必须借助工具。Sqlmap就是为此而生的。但作为学习手动体验这个过程哪怕只猜几个字符至关重要它能让你深刻理解盲注的原理和自动化工具背后的逻辑。3.3 第三式基于时间的盲注——当“是或否”也失效时代表关卡Less-9这一关更“绝”无论你的SQL语句是真是假页面返回都一样布尔盲注也失效了。此时我们引入“时间”这个维度。通过让数据库执行一个耗时的操作并根据页面响应时间的长短来判断条件真假。核心函数是sleep()。例如?id1 AND if(ascii(substr(database(),1,1))100, sleep(5), 0)--这条语句的意思是如果数据库名第一个字符的ASCII码大于100就让数据库睡眠5秒再响应否则立即响应。我们通过浏览器的开发者工具Network标签页观察请求的响应时间Time如果明显超过5秒则条件为真。时间盲注比布尔盲注更慢、更依赖网络稳定性但它是最后的手段。手动操作几乎不可能必须依赖Sqlmap等工具的--techniqueT参数。3.4 第四式联合查询注入的变体——数字型与搜索型代表关卡Less-2 (数字型), Less-5 (双查询注入)Less-2是数字型注入闭合方式更简单。探测时输入?id1 and 12--如果页面内容消失因为12为假则证明注入存在。其SQL语句原型可能是WHERE id$id无需处理引号直接构造UNION即可。Less-5是一个经典变种它没有数据显示位但有关键的报错信息。这引入了“报错注入”的高级技巧。利用数据库的一些函数在特定条件下会产生报错并将我们想要的数据携带在报错信息中。例如使用extractvalue()或updatexml()函数?id1 AND extractvalue(1, concat(0x7e, (SELECT database()), 0x7e))--extractvalue()函数用于解析XML数据我们故意给它一个错误的XML路径格式~database_name~它会报错并将这个“错误路径”信息返回给我们其中就包含了我们查询的数据库名。0x7e是波浪号~的十六进制用作分隔符。4. 进阶绕过当你的注入遇到“防火墙”从Less-20左右开始sqli-labs开始引入各种过滤和防御机制这才是实战的常态。你的注入语句可能会被拦截、转义或过滤。这时就需要一些“花式”绕过技巧。4.1 绕过关键字过滤编码与混淆假设关卡过滤了SELECT、UNION、WHERE等关键字。最简单的绕过方法是大小写混合SeLeCt但很多WAFWeb应用防火墙已经能识别。更有效的方法包括双写关键字SELSELECTECT。如果过滤逻辑是简单地删除SELECT这个单词那么删除后剩下的字符会重新组合成SELECT。内联注释/*!SELECT*/。在MySQL中/*!...*/中的内容会被当作正常SQL执行但一些简单的过滤可能无法识别。等价替换不用UNION SELECT而用UNION ALL SELECT。AND可以用替换OR可以用||替换在MySQL中需要设置模式。Hex编码将关键字或字符串转换成十六进制。例如SELECT可以写成0x53454c454354但这种方式通常用于字符串值而非关键字本身。对于表名或列名可以用HexSELECT column FROM 0x7461626c650x7461626c65是‘table’的Hex。4.2 绕过引号限制无引号注入有时单引号、双引号被转义\或过滤了我们无法用于闭合字符串。这时可以利用数字、布尔表达式或MySQL的特性。利用数字型字段如果注入点是数字型如id则无需引号。利用十六进制如上所述将字符串值转为Hex例如WHERE username0x61646d696eadmin。利用CHAR()函数CHAR(97, 100, 109, 105, 110)可以构造出字符串 ‘admin’。盲注中的利用在布尔盲注中substr()的参数可以用from 1 for 1代替(...,1,1)有时可以绕过对括号的过滤。4.3 绕过空格过滤用其他空白符代替空格被过滤会导致SQL语句无法正确解析。替代方案有注释符代替/**/。SELECT/**/username/**/FROM/**/users。Tab键%09URL编码中的%09。换行符%0a, %0d。括号在特定情况下括号可以用来包裹参数甚至代替空格定义优先级但这需要较高的技巧和对SQL语法的深刻理解。4.4 实战案例Less-25过滤OR和AND这一关过滤了OR和AND不区分大小写。我们的注入点依然在id参数。思路是使用等价符号或函数绕过。AND可以用代替。OR可以用||代替注意在MySQL中默认可能不将||视为逻辑或而是字符串连接符取决于PIPES_AS_CONCAT模式但在此靶场通常可用。也可以双写绕过OORr过滤掉中间的OR后剩下的Or在MySQL中执行时是不区分大小写的依然有效。 构造Payload?id1 || 11--这相当于id1 OR 11永真条件会返回所有数据。5. 工具赋能从手动到自动的必经之路手动注入是理解原理的基石但实战中效率太低。Sqlmap是每个安全测试者的必备神器。但我不建议一开始就依赖它。我的学习路径是先手动打通前20关理解每一种注入的原理和Payload构造逻辑然后再用Sqlmap去验证和加速后续关卡。5.1 如何用Sqlmap高效通关以Less-1基于错误的联合查询注入为例最基本的命令是sqlmap -u http://localhost/sqli-labs/Less-1/?id1 --batch-u指定目标URL--batch表示以非交互模式运行自动选择默认选项。Sqlmap会自动探测注入点类型、数据库类型并尝试多种攻击技术。对于盲注关卡如Less-8需要指定技术sqlmap -u http://localhost/sqli-labs/Less-8/?id1 --techniqueB --batch--techniqueB指定使用布尔盲注。对于有过滤的关卡Sqlmap的tamper脚本是神器。例如Less-25过滤了OR/AND我们可以使用内置的tamper脚本sqlmap -u http://localhost/sqli-labs/Less-25/?id1 --tamperspace2comment --batchspace2comment会将空格替换为注释符/**/。Sqlmap有数十个tamper脚本用于应对各种过滤场景如charencode,halfversionedmorekeywords,apostrophemask等。5.2 理解Sqlmap的输出与风险使用Sqlmap时务必关注其输出信息。它会告诉你注入参数id注入类型boolean-based blind, error-based, UNION query后端数据库MySQL当前用户、当前数据库以及最终爆出的数据。重要警告绝对不要在未经授权的真实网站或系统上使用Sqlmap或其他攻击工具。这不仅是违法行为还可能对目标系统造成严重破坏。sqli-labs这类靶场的存在就是为了在合法、安全的环境下进行练习。你的所有测试行为必须严格限定在你自己搭建的本地环境或明确授权的演练平台上。6. 从靶场到实战思维模式的转变通关sqli-labs并不意味着你就能立刻在真实网络中无往不利。靶场是理想化的而实战是混沌的。你需要完成以下几个思维模式的转变1. 从“有注入点”到“寻找注入点”靶场会明确告诉你参数是id。实战中你需要对每一个用户可控的输入点进行测试URL参数、表单字段、Cookie、HTTP头如X-Forwarded-For。工具如Burp Suite的Scanner能帮你自动化探测但手动测试的意识不可或缺。2. 从“直接回显”到“间接利用”实战中像Less-1那样直接显示数据库数据的场景极少。更多是盲注甚至是“二阶注入”输入先被存储后来才被拼接到SQL语句中执行。你需要更耐心更依赖时间盲注和基于错误的注入技巧。3. 从“绕过简单过滤”到“对抗WAF/IPS”真实企业环境往往部署了WAFWeb应用防火墙或IPS入侵防御系统。它们有更复杂的规则集能识别编码混淆、检测异常请求频率等。绕过它们需要更深入的研究比如利用HTTP参数污染HPP、分块传输编码、畸形请求报文等技巧这已经超出了基础SQL注入的范畴。4. 从“获取数据”到“扩大战果”在靶场里你的目标通常是爆出users表。在实战中仅限授权测试获取数据库权限后你可能要进一步思考能否通过LOAD_FILE()读取服务器文件能否通过INTO OUTFILE写入Webshell数据库用户是否有FILE_权限能否通过数据库提权到操作系统这是一个完整的攻击链思维。7. 防御视角如何写出“免疫”SQL注入的代码学攻击是为了更好的防御。理解了所有攻击手法后你应该立刻明白如何防御。1. 预编译语句参数化查询——黄金法则这是唯一从根本上杜绝SQL注入的方法。原理是将SQL语句的结构哪里是命令哪里是表名哪里是条件与数据用户输入的值分开。数据库引擎会先编译SQL结构再将用户输入作为纯数据处理无论输入中包含什么SQL关键字都不会改变原语句的结构。PHP (PDO):$stmt $pdo-prepare(SELECT * FROM users WHERE id :id); $stmt-execute([id $id]); $results $stmt-fetchAll();Java (MyBatis)务必使用#{}而非${}。#{}是预编译占位符而${}是字符串拼接存在注入风险。这也是为什么“mybatis 动态sql 使用${}”会成为搜索热词因为它是一个常见的高风险用法。2. 输入验证与过滤——白银辅助对输入进行严格的类型、格式、长度检查。例如id参数预期是整数那就用intval()或filter_var($id, FILTER_VALIDATE_INT)强制转换和验证。对于字符串定义允许的字符白名单如只允许字母数字比定义黑名单禁止单引号等更有效。3. 最小权限原则为数据库连接账户分配最小的必要权限。查询操作只用SELECT权限绝对不要用root或拥有FILE_、PROCESS、SUPER等高级权限的账户连接Web应用。这样即使发生注入攻击者能造成的破坏也有限。4. 错误信息处理像sqli-labs的Less-1那样详细的错误信息是攻击者的“指路明灯”。生产环境必须关闭数据库错误回显使用自定义的统一错误页面记录错误日志到后端文件而非展示给用户。5. 使用Web应用防火墙WAF作为最后一道防线WAF可以拦截已知的攻击模式。但它不是银弹可能存在绕过方法。安全的核心始终在于应用代码本身。通关sqli-labs只是一个开始。它为你打下了坚实的SQL注入基础建立了从探测、利用到绕过的完整知识框架。但网络安全领域浩瀚如海在SQL注入之后还有XSS、CSRF、文件上传、反序列化、逻辑漏洞等无数山峰等待攀登。保持好奇持续练习永远在合法的靶场中锤炼你的技艺这才是通往一名合格安全研究者的正道。记住你的技能是一把剑剑锋所向应是守护而非破坏。